OAuth 2.0 トークンを取得する

このページの内容は Apigee と Apigee ハイブリッドに該当します。

Apigee Edge のドキュメントを表示する。

このドキュメントでは、Apigee API を使用して OAuth 2.0 アクセストークンと認証コードを取得する方法について説明します。また、OAuth 2.0 付与タイプごとにポリシーを作成し、クライアントリクエストを受け入れるようにプロキシエンドポイントを構成する方法についても説明します。

認証コード権限付与タイプを使用する

このセクションでは、認証コード権限付与タイプフローを使用してアクセストークンを取得する方法について説明します。このフローのトークンリクエストには認証コードが必要です。認証コードを取得するをご覧ください。OAuth 2.0 の権限付与タイプとはもご覧ください。

注: このセクションの OAuthV2 ポリシー構成では、GenerateAccessToken オペレーションを使用します。このオペレーションでは、不透明な文字列トークン形式が生成されます。GenerateJWTAccessToken オペレーションを置き換えて、JWT 形式のトークンを生成することもできます。JWT OAuth トークンオペレーションの使用もご覧ください。

リクエストの例

curl -i -H 'Content-Type: application/x-www-form-urlencoded' \
   -H 'Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ' \
   -X POST 'https://apitest.acme.com/oauth/token' \
   -d 'code=I9dMGHAN&grant_type=authorization_code&redirect_uri=http://example-callback.com'

必須パラメータ

デフォルトでは、これらのパラメータを x-www-form-urlencoded とし、リクエスト本文で指定する必要があります（上記のサンプルを参照）。ただし、OAuthV2 ポリシーで <GrantType> 要素、<Code> 要素、<RedirectUri> 要素を構成することで、このデフォルトを変更できます。OAuthV2 ポリシーをご覧ください。

grant_type - 値を authorization_code に設定する必要があります。
code - 認証コード。認証コードのリクエストをご覧ください。
redirect_uri - 認証コードリクエストに redirect_uri パラメータが含まれている場合は、このパラメータを指定する必要があります。redirect_uri パラメータが認証コードリクエストに含まれていなかった場合で、このパラメータを指定しない場合、このポリシーは登録済みのデベロッパーアプリで指定されるコールバック URL の値を使用します。

オプションパラメータ

state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

クライアント ID とクライアントシークレットを Basic 認証ヘッダー（Base64 でエンコードされたもの）、またはフォームパラメータ client_id と client_secret として渡す必要があります。これらの値は、登録済みのデベロッパーアプリから取得します。Basic 認証の認証情報をエンコードするもご覧ください。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより実行される GenerateAccessToken ポリシーは、authorization_code 権限付与タイプをサポートするよう構成する必要があります。

...
       <Flow name="generate-access-token">
            <Description>Generate a token</Description>
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは、authorization_code 権限付与タイプを受け入れるように構成された基本的な GenerateAccessToken ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn>
    <RefreshTokenExpiresIn>86400000</RefreshTokenExpiresIn>
    <SupportedGrantTypes>
      <GrantType>authorization_code</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> を有効にすると、ポリシーは、以下のとおりアクセストークンを含む JSON レスポンスを返します。authorization_code 権限付与タイプでは、アクセストークンとリフレッシュトークンが作成されるため、レスポンスは次のようになります。

{
    "issued_at": "1420262924658",
    "scope": "READ",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "refresh_token_issued_at": "1420262924658",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "refresh_token": "fYACGW7OCPtCNDEnRSnqFlEgogboFPMm",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "2l4IQtZXbn5WBJdL6EF7uenOWRsi",
    "organization_name": "docs",
    "refresh_token_expires_in": "86399", //--in seconds
    "refresh_count": "0"
}

<GenerateResponse> が false に設定されている場合、このポリシーはレスポンスを返しません。代わりに、以下のフロー変数のセットにアクセストークン付与に関するデータを入力します。

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

次に例を示します。

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token
oauthv2accesstoken.GenerateAccessToken.refresh_token_expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token_issued_at
oauthv2accesstoken.GenerateAccessToken.refresh_token_status

クライアント認証情報の権限付与タイプを使用する

このセクションでは、クライアント認証情報権限付与タイプフローを使用してアクセストークンを取得する方法について説明します。OAuth 2.0 の権限付与タイプとはもご覧ください。

リクエストの例

curl -H "Content-Type: application/x-www-form-urlencoded" \
  -H "Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ" \
  -X POST "https://apitest.acme.com/oauth/token" \
  -d "grant_type=client_credentials"

必須パラメータ

grant_type - 値を client_credentials に設定する必要があります。
デフォルトでは、必須の grant_type パラメータは x-www-form-urlencoded であり、リクエストの本文（上の例で示す）で指定することが必要です。ただし、OAuthV2 ポリシーで <GrantType> 要素を構成することにより、このデフォルトを変更できます。たとえば、パラメータをクエリパラメータで渡すことが可能です。詳しくは、OAuthV2 ポリシーをご覧ください。

オプションパラメータ

state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

クライアント ID とクライアントシークレットを Basic 認証ヘッダー（Base64 でエンコードされたもの）、またはフォームパラメータ client_id と client_secret として渡す必要があります。これらの値は、リクエストに関連付けられた、登録済みのデベロッパーアプリから取得します。基本認証用の認証情報のエンコードもご覧ください。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより GenerateAccessToken ポリシーが実行されます。このポリシーは、client_credentials 付与タイプをサポートするように構成する必要があります。

...
       <Flow name="generate-access-token">
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは、client_credentials 権限付与タイプを受け入れるように構成された基本的な GenerateAccessToken ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <SupportedGrantTypes>
      <GrantType>client_credentials</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは JSON レスポンスを返します。なお、権限付与タイプが client_credentials の場合、リフレッシュトークンはサポートされません。アクセストークンだけが作成されます。次に例を示します。

{
    "issued_at": "1420260525643",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "scope": "READ",
    "status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "XkhU2DFnMGIVL2hvsRHLM00hRWav",
    "organization_name": "docs"
}

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in //--in seconds

次に例を示します。

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in     //--in seconds

パスワード権限付与タイプを使用する

このセクションでは、リソース所有者パスワード認証情報（password）権限付与タイプフローを使用して、アクセストークンを取得する方法について説明します。パスワード権限付与タイプを実装するもご覧ください。OAuth 2.0 の権限付与タイプとはもご覧ください。

リクエストの例

curl -v -k -H "Content-Type: application/x-www-form-urlencoded" \
  -H "Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ" \
  -X POST "https://apitest.acme.com/oauth/token" \
  -d "grant_type=password&username=a_username&password=a_password"

必須パラメータ

デフォルトでは、これらのパラメータを x-www-form-urlencoded とし、リクエスト本文で指定する必要があります（上記のサンプルを参照）。ただし、OAuthV2 ポリシーで <GrantType> 要素、<Username> 要素、<Password> 要素を構成することで、このデフォルトを変更できます。OAuthV2 ポリシーをご覧ください。

ユーザー認証情報は、通常は LDAP または JavaScript ポリシーを使用して格納された認証情報に照らして検証されます。

grant_type - 値を password に設定する必要があります。
username - リソース所有者のユーザー名。
password - リソース所有者のパスワード。

オプションパラメータ

state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより実行される GenerateAccessToken ポリシーは、パスワード権限付与タイプをサポートするよう構成されている必要があります。

...
       <Flow name="generate-access-token">
            <Request>
                <Step>
                    <Name>GenerateAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/token") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは、パスワード権限付与タイプを受け入れるように構成された基本的な GenerateAccessToken ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAccessToken">
    <Operation>GenerateAccessToken</Operation>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <RefreshTokenExpiresIn>28800000</RefreshTokenExpiresIn> <!-- 8 hours -->
    <SupportedGrantTypes>
      <GrantType>password</GrantType>
    </SupportedGrantTypes>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは JSON レスポンスを返します。パスワード権限付与タイプを使用すると、アクセストークンとリフレッシュトークンの両方が作成されます。次に例を示します。

{
    "issued_at": "1420258685042",
    "scope": "READ",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "refresh_token_issued_at": "1420258685042",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "organization_id": "0",
    "token_type": "BearerToken",
    "refresh_token": "IFl7jlijYuexu6XVSSjLMJq8SVXGOAAq",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "I6daIgMSiUgYX1K2qgQWPi37ztS6",
    "organization_name": "docs",
    "refresh_token_expires_in": "28799", //--in seconds
    "refresh_count": "0"
}

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in   //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in  //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

次に例を示します。

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token
oauthv2accesstoken.GenerateAccessToken.refresh_token_expires_in
oauthv2accesstoken.GenerateAccessToken.refresh_token_issued_at
oauthv2accesstoken.GenerateAccessToken.refresh_token_status

暗黙的権限付与タイプを使用する

このセクションでは、暗黙的権限付与タイプフローを使用してアクセストークンを取得する方法について説明します。OAuth 2.0 の権限付与タイプとはもご覧ください。

注: このセクションの OAuthV2 ポリシー構成では、GenerateAccessTokenImplicitGrant オペレーションを使用します。このオペレーションでは、不透明な文字列トークン形式が生成されます。GenerateJWTAccessTokenImplicitGrant オペレーションを置き換えて、JWT 形式のトークンを生成することもできます。JWT OAuth トークンオペレーションの使用もご覧ください。

リクエストの例

$ curl -X POST -H 'Content-Type: application/x-www-form-urlencoded' \
  'https://apitest.acme.com/oauth/implicit?response_type=token&client_id=c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ&redirect_uri=http://callback-example.com'

必須パラメータ

デフォルトでは、これらのパラメータをクエリパラメータとする必要があります（上記のサンプルを参照）。ただし、この /token エンドポイントに接続された OAuthV2 ポリシーで <ResponseType> 要素、<ClientId> 要素、<RedirectUri> 要素を構成することで、このデフォルトを変更できます。詳しくは、OAuthV2 ポリシーをご覧ください。

ユーザー認証情報は、通常は LDAP サービスコールアウトまたは JavaScript ポリシーを使用して格納された認証情報に照らして検証されます。

response_type - 値を token に設定する必要があります。
client_id - 登録されたデベロッパーアプリのクライアント ID。
redirect_uri - クライアントのデベロッパーアプリが登録されたときにコールバック URI が提供されなかった場合は、このパラメータを必ず指定してください。コールバック URL がクライアント登録時に指定された場合は、この値と比較して完全一致しなければなりません。

オプションパラメータ

state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

認証ヘッダーは必要ありませんが、リクエストパラメータとしてクライアント ID を渡す必要があります。

サンプルエンドポイント

ここでは、アクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより GenerateAccessTokenImplicitGrant ポリシーが実行されます。

...
       <Flow name="generate-access-token-implicit">
            <Request>
                <Step>
                    <Name>GenerateAccessTokenImplicitGrant</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/implicit") and (request.verb = "POST")</Condition>
        </Flow>
...

サンプルポリシー

これは、暗黙的権限付与タイプフローでトークンリクエストを処理する基本的な GenerateAccessTokenImplicitGrant ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<OAuthV2 name="GenerateAccessTokenImplicit">
    <DisplayName>GenerateAccessTokenImplicit</DisplayName>
    <Operation>GenerateAccessTokenImplicitGrant</Operation>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、ポリシーはレスポンスヘッダーで 302 ロケーションリダイレクトを返します。このリダイレクトは、redirect_uri パラメータで指定された URL を指し、アクセストークンとトークンの有効期限が付加されます。暗黙的付与タイプはリフレッシュトークンをサポートしないことにご留意ください。次に例を示します。

https://callback-example.com#expires_in=1799&access_token=In4dKm4ueoGZRbIYJhC9yZCmTFw5

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in  //--in seconds

次に例を示します。

oauthv2accesstoken.GenerateAccessToken.access_token
oauthv2accesstoken.GenerateAccessToken.expires_in   //--in seconds

認証コードを取得する

認証コード権限付与タイプフローでは、アクセストークンを取得するために認証コードが必要です。認証コード権限付与タイプを使用するをご覧ください。OAuth 2.0 の権限付与タイプとはもご覧ください。

リクエストの例

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" \
  "https://apitest.acme.com/oauth/authorize?response_type=code&client_id=c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ&redirect_uri=http://my-callback.com"

必須パラメータ

デフォルトでは、これらのパラメータはクエリパラメータであることが必要です（上のサンプルを参照）。ただし、OAuthV2 ポリシーに <ResponseType> 要素、<ClientId> 要素、<RedirectUri> 要素を構成することで、このデフォルトを変更できます。詳しくは、OAuthV2 ポリシーをご覧ください。

redirect_uri - コールバック URI 全体（一部ではなく）が登録済みのクライアントアプリで指定されている場合、このパラメータは任意です。コールバック URI 全体が指定されていない場合は必須です。コールバックは、作成した認証コードを Apigee が送信する URL です。アプリの登録と API キーの管理をご覧ください。
response_type - 値を code に設定する必要があります。
client_id - 登録されたデベロッパーアプリのクライアント ID。

オプションパラメータ

redirect_uri - コールバック URI 全体（一部ではなく）が登録済みのクライアントアプリで指定されている場合、このパラメータは任意です。コールバック URI 全体が指定されていない場合は必須です。コールバックは、作成した認証コードを Apigee が送信する URL です。アプリの登録と API キーの管理をご覧ください。
state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

認証ヘッダーは必要ありませんが、登録されたクライアントアプリのクライアント ID をリクエストで入力する必要があります。

サンプルポリシー

これは、基本的な GenerateAuthorizationCode ポリシーです。その他の構成オプションについては、OAuthV2 ポリシーをご覧ください。

<OAuthV2 name="GenerateAuthorizationCode">
    <Operation>GenerateAuthorizationCode</Operation>
    <GenerateResponse enabled="true"/>
</OAuthV2>

戻り値

<GenerateResponse> が有効な場合、このポリシーは認証コードが添付された redirect_uri（コールバック URI）のロケーションに ?code クエリパラメータを返します。302 ブラウザリダイレクトを介して、レスポンスの Location ヘッダーの URL とともに送信されます。例: ?code=123456。

<GenerateResponse> が false に設定されている場合、このポリシーはレスポンスを返しません。代わりに、以下のフロー変数のセットに認証コードに関するデータを入力します。

oauthv2authcode.{policy-name}.code
oauthv2authcode.{policy-name}.scope
oauthv2authcode.{policy-name}.redirect_uri
oauthv2authcode.{policy-name}.client_id

次に例を示します。

oauthv2authcode.GenerateAuthorizationCode.code
oauthv2authcode.GenerateAuthorizationCode.scope
oauthv2authcode.GenerateAuthorizationCode.redirect_uri
oauthv2authcode.GenerateAuthorizationCode.client_id

注: OAuthV2 ポリシーでカスタム属性を設定することもできます。カスタム属性は、他の変数と同じ形式パターン oauthv2.{policy_name}.{attribute_name} で返されます。認証コードからアクセストークンを生成すると、このアクセストークンは認証コードで設定されたカスタム変数を継承します。OAuthV2 ポリシーもご覧ください。

アクセストークンをリフレッシュする

リフレッシュトークンとは、一般にアクセストークンの有効期限が切れたり無効になったりした後で、アクセストークンを取得するために使用する認証情報です。アクセストークンを受け取ったときレスポンスでリフレッシュトークンが返されます。

注: このセクションの OAuthV2 ポリシー構成では、RefreshAccessToken オペレーションを使用します。このオペレーションは不透明な文字列トークン形式を更新します。RefreshJWTAccessToken オペレーションを置き換えて、JWT 形式のトークンを更新することもできます。JWT OAuth トークンオペレーションの使用もご覧ください。

注: RefreshAccessToken オペレーション中に、アクセストークン内の既存の属性の追加、削除、変更を行うことはできません。要素内の値は RefreshAccessToken オペレーションでは処理されません。属性を更新するには、SetOAuthV2Info ポリシーを使用します。

リクエストの例

次の呼び出しで Basic 認証ヘッダーをエンコードする方法については、Basic 認証の認証情報をエンコードするをご覧ください。

$ curl -X POST \
  -H "Content-type: application/x-www-form-urlencoded" \
  -H "Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ" \
  https://apitest.acme.com/oauth/refresh \
  -d "grant_type=refresh_token&refresh_token=yVSL38WpuN3Kzn1UTMoE6AQ4ANZM"

必須パラメータ

デフォルトでは、上記の例で示すように、ポリシーはリクエスト本文で指定された x-www-form-urlencoded パラメータとしてこれらを検索します。これらの入力用の別のロケーションを構成するには、OAuthV2 ポリシーで <GrantType> 要素と <RefreshToken> 要素を使用します。詳しくは、OAuthV2 ポリシーをご覧ください。

grant_type - 値を refresh_token に設定する必要があります。
refresh_token - 更新するアクセストークンに関連付けられたリフレッシュトークン。

オプションパラメータ

state - レスポンスとともに返される文字列。通常、クロスサイトリクエストフォージェリ攻撃を防ぐために使用されます。
scope - 作成されたトークンを使用できる API プロダクトのリストをフィルタリングできます。スコープの詳細については、OAuth2 スコープの操作をご覧ください。

承認

認証ヘッダーは必要ありませんが、登録されたクライアントアプリのクライアント ID をリクエストで入力する必要があります。

アクセストークンを更新するとき、ユーザーの再認証はありません。

ここでは、リフレッシュトークンを使用してアクセストークンを生成するためのエンドポイント構成のサンプルを示します。これにより RefreshAccessToken ポリシーが実行されます。

 ...
       <Flow name="generate-refresh-token">
            <Request>
                <Step>
                    <Name>RefreshAccessToken</Name>
                </Step>
            </Request>
            <Response/>
            <Condition>(proxy.pathsuffix MatchesPath "/refresh") and (request.verb = "POST")</Condition>
       </Flow>
...

サンプルポリシー

これは、refresh_token 権限付与タイプを受け入れるように構成された基本的な RefreshAccessToken ポリシーです。このポリシーを使用して構成できる任意の構成要素については、OAuthV2 ポリシーをご覧ください。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<OAuthV2 name="RefreshAccessToken">
    <Operation>RefreshAccessToken</Operation>
    <GenerateResponse enabled="true"/>
    <ExpiresIn>1800000</ExpiresIn> <!-- 30 minutes -->
    <RefreshTokenExpiresIn>28800000</RefreshTokenExpiresIn> <!-- 8 hours -->
</OAuthV2>

戻り値

<GenerateResponse> を有効にすると、ポリシーは新しいアクセストークンを含む JSON レスポンスを返します。refresh_token 権限付与タイプでは、アクセストークンと新しいリフレッシュトークンの両方を作成できます。次に例を示します。

{
    "issued_at": "1420301470489",
    "application_name": "ce1e94a2-9c3e-42fa-a2c6-1ee01815476b",
    "scope": "READ",
    "refresh_token_issued_at": "1420301470489",
    "status": "approved",
    "refresh_token_status": "approved",
    "api_product_list": "[PremiumWeatherAPI]",
    "expires_in": "1799", //--in seconds
    "developer.email": "tesla@weathersample.com",
    "token_type": "BearerToken",
    "refresh_token": "8fKDHLryAD9KFBsrpixlq3qPJnG2fdZ5",
    "client_id": "5jUAdGv9pBouF0wOH5keAVI35GBtx3dT",
    "access_token": "jmZ2Hqv3iNsABUtAAsfWR3QGNctw",
    "organization_name": "docs",
    "refresh_token_expires_in": "28799", //--in seconds
    "refresh_count": "2"
}

新しいリフレッシュトークンが作成されると、元のトークンは有効でなくなります。

上記のレスポンスは、<GenerateResponse> が true に設定されている場合に返されます。<GenerateResponse> が false に設定されている場合、ポリシーはレスポンスを返しません。代わりに、以下のコンテキスト（フロー）変数のセットに、アクセストークン付与に関するデータを入力します。

oauthv2accesstoken.{policy-name}.access_token
oauthv2accesstoken.{policy-name}.expires_in   //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token
oauthv2accesstoken.{policy-name}.refresh_token_expires_in  //--in seconds
oauthv2accesstoken.{policy-name}.refresh_token_issued_at
oauthv2accesstoken.{policy-name}.refresh_token_status

次に例を示します。

oauthv2accesstoken.RefreshAccessToken.access_token
oauthv2accesstoken.RefreshAccessToken.expires_in
oauthv2accesstoken.RefreshAccessToken.refresh_token
oauthv2accesstoken.RefreshAccessToken.refresh_token_expires_in
oauthv2accesstoken.RefreshAccessToken.refresh_token_issued_at
oauthv2accesstoken.RefreshAccessToken.refresh_token_status

Basic 認証情報をエンコードする

トークンまたは認証コードをリクエストするための API 呼び出しを行う場合、OAuth 2.0 仕様では、client_id と client_secret の値を HTTP-Basic 認証ヘッダーとして渡すことをおすすめします（IETF RFC 2617 を参照）。これを行うには、2 つの値を結合してコロンで区切った結果を Base64 エンコードする必要があります。

擬似コードでは次のようになります。

result = Base64Encode(concat('ns4fQc14Zg4hKFCNaSzArVuwszX95X', ':', 'ZIjFyTsNgQNyxI'))

ns4fQc14Zg4hKFCNaSzArVuwszX95X は client_id、ZIjFyTsNgQNyxI はクライアントシークレットです。

例

次のサンプルコマンドは、Linux と MacOS で機能します。

export CREDENTIALS=$(echo -n 'ns4fQc14Zg4hKFCNaSzArVuwszX95X:ZIjFyTsNgQNyxI' | base64)

次に、トークンリクエストを以下のように行います。

$ curl -i -H "Content-Type: application/x-www-form-urlencoded" \
  -H "Authorization: Basic $CREDENTIALS" \
  -X POST "https://apitest.acme.com/oauth/token" \
  -d "grant_type=client_credentials"

データベース内でトークンをハッシュする

Apigee は、データベースのセキュリティ侵害が発生した場合に、すべての OAuth アクセストークンとリフレッシュトークンをハッシュして保護します。API 呼び出しでハッシュなしのトークンを使用すると、Apigee はデータベース内のハッシュされたバージョンに対してトークンを検証します。

OAuth 2.0 トークンを取得する

認証コード権限付与タイプを使用する

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル エンドポイント

サンプル ポリシー

戻り値

クライアント認証情報の権限付与タイプを使用する

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル エンドポイント

サンプル ポリシー

戻り値

パスワード権限付与タイプを使用する

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル エンドポイント

サンプル ポリシー

戻り値

暗黙的権限付与タイプを使用する

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル エンドポイント

サンプル ポリシー

戻り値

認証コードを取得する

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル ポリシー

戻り値

アクセス トークンをリフレッシュする

リクエストの例

必須パラメータ

オプション パラメータ

承認

サンプル ポリシー

戻り値

Basic 認証情報をエンコードする

例

データベース内でトークンをハッシュする

関連トピック

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

オプションパラメータ

サンプルエンドポイント

サンプルポリシー

オプションパラメータ

サンプルポリシー

アクセストークンをリフレッシュする

オプションパラメータ

サンプルポリシー