はじめに

先日、先輩がAPIの認証・認可について勉強会を開いてくれました。その復習も兼ねて、この記事では認証と認可の基本から、OAuthやAPIキーの仕組みまでを整理してみます。

認証と認可

認証は「あなたは誰ですか？」を確認する仕組み

認証は、ユーザーやクライアントが本人であることを認証するプロセスです。これによって、APIやクライアントは「誰がアクセスしているのか」を確認できます。

例えば、以下のような認証があります。

認証の手法には以下の種類があります。

認可は「あなたは何をしていいですか？」を確認する仕組み

認可は、認証されたユーザーやクライアントが特定のリソースや機能にアクセスする権限があるかを判断するプロセスです。

これからOAuthやAPIキーについての仕組みを理解していきます。まずはOAuthから見ていきます。

OAuth（Open Authorization）とは、インターネット上で安全に認証や認可を行うためのプロトコルです。特に、他のサービスに自分のアカウントの情報を渡さずに、アプリケーションやサービス同士が連携できる仕組みを提供してくれます。

クライアントがユーザーに対してアクセスをリクエスト
認可サーバーが認可コードを発行
認可サーバーは、ユーザーが許可を確認した後、一時的な認可コードをクライアントに返す。
クライアントがアクセストークンを要求
クライアントは認可サーバーに対し、認可コードを使ってアクセストークンを要求する。
アクセストークンが発行される
認可サーバーはリクエストを確認後、アクセストークンをクライアントに発行する。
クライアントがリソースサーバーにアクセス
クライアントはアクセストークンを使って、リソースサーバーにリソースへのアクセスを要求。リソースサーバーはアクセストークンを確認し、許可された範囲内でデータを提供する。

認可してもらったら、アクセストークンを使って認証を行うという流れになっていますが、アクセストークンにはどんな情報が含まれているのでしょうか？

アクセストークンに含まれている情報は以下の通りです：

例えば、Google APIを利用する場合、スコープを以下のように指定することでアクセス範囲を細かく制御できます：

https://www.googleapis.com/auth/drive.readonly: Google Drive内のファイルを「読み取り専用」でアクセスする許可
https://www.googleapis.com/auth/calendar.events: Googleカレンダーのイベントを管理する許可
https://www.googleapis.com/auth/userinfo.profile: ユーザーの基本プロフィール情報へのアクセスを許可

アクセストークンにはスコープが含まれており、これによりクライアントがリソースサーバーにアクセスできる範囲を定義しています。

APIキーはアプリケーションやユーザーを識別するために使用されます。リクエストヘッダーやURLに含まれており、シンプルで使いやすい分、ネットワーク上で盗まれるリスクがあり、セキュリティはOAuthより劣ります。

APIキーは通常、ランダムな英数字の文字列として生成されます。例えば以下のような形です：

123abc456def789ghi012jkl345mno678pqr

リクエストやクエリパラメータに含めて使用します。URLの一部としてAPIキーを送信する場合は以下のようになります：

https://api.example.com/v1/resource?api_key=123abc456def

APIキーの使用範囲を制限するために、IPアドレスやドメインで制限できます。これにより不正使用を防ぐことができます。

APIのダッシュボードやログを活用して、APIキーの使用状況を定期的に確認することも大事です。不審なトラフィックがあれば、APIキーを無効化して再発行することが推奨されます。また、使用期限や利用可能なAPIエンドポイントの制限を設定することで、セキュリティを向上させることができます。

開発者ツールでリクエストヘッダーを確認したところ、Authorizationヘッダーにアクセストークンが含まれていることがわかります。このように、アクセストークンを用いて認証・認可を実現します。

APIの認証認可についての基礎を学びました。OAuthやAPIキーの仕組みはAPIを扱う際に必須の知識だと思うので、さらに理解を深め、実装できるようになりたいです。

最後までお読みいただきありがとうございました。