システム設定 – API クライアント

Overview

Questetra API に対して、OAuth2 認可アクセスを許可するクライアントを登録、管理します。

OAuth2 クライアント一覧

photo_library Capture

notification_important Notes

クライアントの登録

• ［名前］には、API アクセスを許可するクライアントを識別するための任意の名称を指定できます
• ［リダイレクトURL］には、許可するクライアントのリダイレクトURL（コールバックURL）を設定してください
• ［クライアント認証方式］では、トークンリクエスト時にクライアントを認証する方式を選択できます
  • client_secret_post：クライアントシークレットによってクライアントを認証します。クライアントを追加すると、クライアントIDとクライアントシークレットが発行されます
  • none：クライアントシークレットを安全に保管できないクライアント（パブリッククライアント）向けの設定です。クライアントIDのみが発行され、クライアントシークレットは発行されません
• ［Proof Key (PKCE) を要求］を有効にすると、認可コードフローでの PKCE (Proof Key for Code Exchange) の利用が必須となり、OAuth 2.1 に準拠した設定となります
  • ［クライアント認証方式］が none の場合、［Proof Key (PKCE) を要求］を無効にすることはできません
• ［スコープ］では、クライアントに許可する API アクセスの範囲を設定できます
  • any（すべての API へのアクセス）：API へのフルアクセスを許可します
  • read（データを取得する API へのアクセス）：読み取りのみに制限します

クライアントとなるシステムへの設定

• 発行されたクライアントID（client_secret_post の場合はクライアントシークレットも）を、認可エンドポイントURL・トークンエンドポイントURLと共に、クライアントとなるシステムに設定してください

認可とトークンの有効期間

• 認可方式には認可コードフロー（Authorization Code Flow）が採用されています
• アクセストークンは12時間有効です
• ［クライアント認証方式］が client_secret_post の場合、アクセストークンと共にリフレッシュトークンが発行されます。リフレッシュトークンは35日間有効です
  • リフレッシュトークンはローテーションされます。トークンの更新（リフレッシュ）のたびに新しいリフレッシュトークンが発行され、それまで使用していたリフレッシュトークンは無効になります
  • 新しく発行されたリフレッシュトークンの有効期間は発行時点から35日間です。35日以内にトークン更新を続けている限り、認可状態は維持されます
  • 1つのクライアント ID につき、1ユーザが認可状態を維持できる API アクセス（保持できるリフレッシュトークン）は最大 10 件までです。10件を超過する場合、最も古いリフレッシュトークンから破棄されます
• ［クライアント認証方式］が none の場合、リフレッシュトークンは発行されません
  • アクセストークンの有効期限が切れた場合は、再度認可を行ってください

クライアントの管理

• ［OAuth2 クライアント削除］は、そのクライアントの情報をシステムから削除します
• ［OAuth2 クライアント無効化］は、API アクセスを無効にしますが、クライアントの詳細は保持されます。必要に応じて［OAuth2 クライアント有効化］で将来再有効化することができます

balance See also