メインコンテンツへスキップ
ユーザーを認証する際、APIにアクセスするにはアクセストークンを要求しなければなりません。
これらのAuth0ツールは、アプリケーションによるユーザーの認証を可能にします。
アクセストークンを要求するには、トークンURLに対してPOST呼び出しを行います。

​
トークンURLへのPOSTの例

curl --request POST \
  --url 'https://{yourDomain}/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=client_credentials \
  --data client_id=YOUR_CLIENT_ID \
  --data client_secret=YOUR_CLIENT_SECRET \
  --data audience=YOUR_API_IDENTIFIER
パラメーター
パラメーター名説明
grant_typeこれを”client_credentials”に設定します。
client_idアプリケーションのクライアントID。この値はアプリケーションの設定タブで見つけることができます。
client_secretアプリケーションのクライアントシークレット。この値はアプリケーションの設定タブで見つけることができます。使用できるアプリケーション認証方法の詳細については、「アプリケーション資格情報」をお読みください。
audienceトークンのオーディエンス（ご利用のAPI）。これは、APIの［Settings（設定）］タブの ［Identifier（識別子）］ フィールドにあります。
organization任意。要求に関連付けたい組織の名前または識別子です。詳細については「組織に対するマシンツーマシンアクセス」をお読みください。

​
応答

値にaccess_token、token_type、およびexpires_inを含むペイロードとともにHTTP 200応答が届きます。 
{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}
トークンは、検証してから保存します。操作方法については、「IDトークンの検証」および「アクセストークンを検証する」を参照してください。

​
アクセストークンオーディエンスをコントロールする

ユーザー認証時、アクセストークンを要求して、対象オーディエンスとアクセスのスコープを要求に入れます。アプリケーションはアクセス要求に/authorizeエンドポイントを使います。このアクセスはアプリケーションに要求され、認証においてユーザーにも認められます。 常にデフォルトのオーディエンスを含めるようにテナントを構成できます。
トークンの使用形式要求されたオーディエンス要求されたスコープ
/userinfoエンドポイント不透明テナント名（{yourDomain}）、audienceパラメーターの値なし、渡されるaudienceパラメーターなしopenid
Auth0 Management APIJWTAuth0 Management API v2の識別子（https://{tenant}.auth0.com/api/v2/）
独自のカスタムAPIJWTAuth0 Dashboardで登録されたカスタムAPIのAPI識別子
特定の1回のインスタンスに限り、アクセストークンに複数の対象オーディエンスを入れることができます。そのためには、カスタムAPIの署名アルゴリズムをRS256 に設定する必要があります。詳細については、「トークンのベストプラクティス」をお読みください。

​
複数オーディエンス

カスタムAPI識別子のオーディエンスとopenidのスコープを指定した場合、アクセストークンのaudクレームは文字列でなく配列となり、アクセストークンはカスタムAPIと/userinfoエンドポイントの双方に対して有効となります。単一のカスタムAPIとAuth0の/userinfoエンドポイントを使う場合は、アクセストークンのオーディエンスは2つ以上となります。

​
カスタムドメインとAuth0 Management API

Auth0は、トークン要求時に使ったドメインの発行者（iss）クレームとともにトークンを発行します。カスタムドメインユーザーは、カスタムドメインまたはAuth0ドメインのいずれかを使えます。 たとえば、https://login.northwind.comというカスタムドメインを使うとします。https://login.northwind.com/authorizeからアクセストークンを要求すると、トークンのissクレームはhttps://login.northwind.com/となります。しかし、https://northwind.auth0.com/authorizeからアクセストークンを要求すると、トークンのissクレームはhttps://northwind.auth0.com/となります。 Auth0 の対象オーディエンスのカスタムドメインからアクセストークンを要求する場合は、カスタムドメインからAuth0 Management APIを呼び出す必要があります 。そうしないと、アクセストークンは無効とみなされます。

​
アクセストークンの更新

カスタムAPIのアクセストークンの有効期間は、デフォルトで86400秒間（24時間）です。トークンの有効期間が切れる前に期間を短縮できます。 アクセストークンの有効期間が切れた後は、アクセストークンを更新できます。これには、Auth0を使ってユーザーを認証するか、リフレッシュトークンを使用します。

​
もっと詳しく

⌘I