OAuth 2.0承認カードを使用する

Paths（パス）

OAuthサーバーのベースURL。コネクターは、［Base URL（ベースURL）］の値にアクセストークンのパスを追加します。

ただし、［Authorize Path（承認パス）］、［Token Path（トークンパス）］、［Refresh Token Path（リフレッシュトークンパス）］エントリに完全修飾URLが指定されていれば、このフィールドは空白のまま残すことができます。これらのアクセストークンの処理に異なるURLが使用される場合はこちらのシナリオの方が適しています。

コネクターがサービスのアクセストークンを取得できる場所（例：/authorize）。

［Base URL（ベースURL）］が空の場合、このフィールドは完全修飾URLである必要があります（例：https://account.example.com/api/oauth2/authorize）。

フローがアクセスおよびリフレッシュトークンの承認コードを交換する場所（例：/oauth2/token）。

［Base URL（ベースURL）］が空の場合、このフィールドは完全修飾URLである必要があります（例：https://api.example.com/oauth2/token）。

コネクターがアクセストークンの期限切れ後に新しいアクセストークンを取得できる場所。

リフレッシュトークンパスは、多くの場合はアクセストークンパスと同じです。サービスがアクセストークンの更新に個別のエンドポイントを使用する場合は、ここに入力します（例：https://account.example.com/api/oauth2/reauthorize）。

Credentials（資格情報）

新しいアプリの登録時は、通常はアプリ名やWebサイトなどの基本情報を登録します。さらに、認証をOkta Workflowsに戻すためのリダイレクトURLも登録する必要があります。

提供されたコネクターの［Redirect URI（リダイレクトURI）］を新しいOAuthアプリにコピーしてコネクターをサービスに登録します。

次のリダイレクトURLを使用して、それぞれOktaのプレビューサイト、本番サイトに接続します。

• https://oauth.workflows.oktapreview.com/oauth/{{auth.connector_key}}/cb

• https://oauth.workflows.okta.com/oauth/{{auth.connector_key}}/cb

コネクターの［Key（キー）］は、コネクターの［設定］ペインで確認できます。

プレビュー環境と本番環境の両方に登録する必要があります。

この設定は、OAuthアプリケーションを管理するユーザーのタイプを決定します。オプションは［開発者］と［カスタマー］です。

• 開発者：コネクタービルダーがアプリケーションを作成し、その設定を管理します。ビルダーは、［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドの値も提供します。

• カスタマー：アプリケーションのエンドユーザーがクライアントOAuthアプリケーションを管理します。このユーザーは、［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドの値も提供します。このオプションを選択すると、［新規接続］ダイアログに［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドが自動的に追加されます。

サービスから提供される、公開される文字列です。OAuthアプリケーションを識別して承認URLを構築するために使用されます。

サービスから提供されるプライベート値。アプリケーションのIDをサービスに対して認証するため使用される値。

Scopes（スコープ）（任意）

各スコープは、サービスからの接続リクエストの詳細なアクセスレベルを定義します。接続にOAuthスコープを追加する方法は次のとおりです。

1. ［Add Scope（スコープを追加）］をクリックして、この接続用に要求する一意のスコープをサービスに追加します。

2. スコープ名を入力します（例：openid、offline_access）。

   トグルを使ってスコープが［Required（必須）］であるかどうかを指定します。スコープを［Required（必須）］としてマークするには、事前に［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを有効化しておく必要があります。

   

   必須としてマークされたスコープは常に要求されます。通常は、コネクターが正しく機能するために必要なスコープです。また、APIのすべてのエンドポイントを呼び出すCAPIAカードでは、通常は接続によってすべてのスコープが有効化されている必要があります。

   追加する各スコープは、［新規接続］プレビューの［権限］タブに表示されます。

3. ユーザーがスコープリストを変更できるようにするには、［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを選択します。

   この機能は、異なるスコープを使ってサービスを呼び出す複数の接続をユーザーが作成できるようにする場合に有用です。たとえば、これらのユーザーは最小権限の原則に合わせてスコープを削除できます。

   たとえば、メールサービスへの1つの接続には、管理を合理化するためにread-emailスコープが含まれる場合があります。同一サービスへのより高度な別の接続には、delete-emailスコープやsend-emailスコープも含まれるかもしれません。

   このオプションは、サービスから要求されるスコープを定義するための2つの選択肢を提供するセレクターを［権限］タブに追加します。

   • ［Use default scopes（デフォルトスコープを使用）］：定義済みのすべてのスコープを要求します。

     

   • ［Customize scopes（スコープをカスタマイズ）］：ユーザーは、元のリストから必須以外のスコープを削除できます。必須スコープは消去できません。

     

4. ユーザーがコネクターを通じて追加のスコープリクエストを追加できるようにするには、［Allow users to request additional scopes（追加スコープの要求をユーザーに許可）］オプションを選択します。

   スコープは［Manually add scopes（スコープを手動で追加）］フィールドに入力できます。この入力フィールドの文字数制限は500です。スコープは個別に追加することも、スペースまたはカンマ区切りのスコープリストとして追加することもできます。区切り文字は、［Scopes Delimiter（スコープ区切り文字）］フィールドの選択と一致します。

   このオプションを選択しない場合、ユーザーはOkta Ideasサイトを通じてコネクターへの新規スコープの追加を求めることができます。このリンクは、［権限］タブの下部にあります。

   このオプションは、［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを有効にした場合にのみ利用できます。

リフレッシュトークンを取得するために特別なスコープ（refresh_tokenやoffline_accessなど）が必要かどうかについては、APIのドキュメントを参照してください。

ユーザーが個々のスコープを区切って入力するための区切り文字を指定します。

オプションはスペースとカンマです。

パラメーターを使用することで、インスタンスやサブドメインなど、認証に必要な追加情報をコネクターユーザーから収集できます。これらのフィールドは、ユーザーが接続を最初に作成する際に表示され、必須です。

Label（ラベル）：コネクターのセットアップ時に［New Connection（新規接続）］ダイアログに表示されるパラメーターの名前。

Key（キー）：サービスで使用されるキー/値ペアのテキスト値。たとえば、api_key、application_key、authentication。

Type（タイプ）：3つのフィールドタイプから選択できます。

• テキスト：ユーザーにプレーンテキストフィールドを表示します。これは、加工なしのオープンテキストフィールドです。

• パスワード：加工されたテキストフィールドを表示します。このフィールドに入力したテキストはユーザーには表示されません。

• ドロップダウンリスト：ユーザーが選択する値の、手動で作成されたドロップダウンリストを表示します。