OAuth 2.0認可コードを使用する

パス

コネクターがサービスのアクセストークンを取得できる場所（例：https://account.example.com/api/oauth2/authorize）。

フローがアクセスおよびリフレッシュトークンの認証コードを交換する場所例：https://api.example.com/oauth2/token）。

コネクターがアクセストークンの期限切れ後に新しいアクセストークンを取得できる場所。

リフレッシュトークンパスは、多くの場合はアクセストークンパスと同じです。サービスがアクセストークンの更新に個別のエンドポイントを使用する場合は、ここに入力します（例：https://account.example.com/api/oauth2/reauthorize）。

Credentials（資格情報）

新しいアプリの登録時は、通常はアプリ名やWebサイトなどの基本情報を登録します。さらに、認証をOkta Workflowsに戻すためのリダイレクトURLも登録する必要があります。

提供されたコネクターの［Redirect URI（リダイレクトURI）］を新しいOAuthアプリにコピーしてコネクターをサービスに登録します。

次のリダイレクトURLを使用して、それぞれOktaのプレビューサイト、本番サイトに接続します。

• https://oauth.workflows.oktapreview.com/oauth/{{auth.connector_key}}/cb

• https://oauth.workflows.okta.com/oauth/{{auth.connector_key}}/cb

コネクターの［Key（キー）］は、コネクターの［設定］ペインで確認できます。

プレビュー環境と本番環境の両方に登録する必要があります。

この設定は、OAuth 2.0アプリを管理するユーザーのタイプを決定します。オプションは開発者と顧客です。

• 開発者：アプリを作成し、その設定を管理するコネクタービルダー。ビルダーは、［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドの値も提供します。

• 顧客：アプリケーションのエンドユーザーがクライアントOAuth 2.0アプリを管理します。［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドの値を提供します。このオプションを選択すると、［新規接続］ダイアログに［Client ID（クライアントID）］フィールドと［Client Secret（クライアントシークレット）］フィールドが自動的に追加されます。

サービスから提供される、公開される文字列です。OAuth 2.0アプリを識別して認可URLを構築するために使用されます。

サービスから提供されるプライベート値。この値は、サービスに対してアプリIDを認証するために使用されます。

スコープ（任意）

各スコープは、サービスからの接続リクエストの詳細なアクセスレベルを定義します。接続にOAuthスコープを追加する方法は次のとおりです。

1. ［Add Scope（スコープを追加）］をクリックして、この接続用に要求する一意のスコープをサービスに追加します。

2. スコープ名を入力します（例：openid、offline_access）。

   トグルを使ってスコープが［Required（必須）］であるかどうかを指定します。スコープを［Required（必須）］としてマークするには、事前に［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを有効化しておく必要があります。

   

   必須としてマークされたスコープは常に要求されます。通常は、コネクターが正しく機能するために必要なスコープです。また、APIのすべてのエンドポイントを呼び出すCAPIAカードでは、通常は接続によってすべてのスコープが有効化されている必要があります。

   追加する各スコープは、［新規接続］プレビューの［権限］タブに表示されます。

3. ユーザーがスコープリストを変更できるようにするには、［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを選択します。

   この機能は、異なるスコープを使ってサービスを呼び出す複数の接続をユーザーが作成できるようにする場合に有用です。たとえば、これらのユーザーは最小権限の原則に合わせてスコープを削除できます。

   たとえば、あるメールサービスへの接続の1つには、管理を簡素化するためにread-emailスコープのみを含め、同一サービスへのより高度な接続には、delete-emailスコープやsend-emailスコープも含めることができます。

   このオプションでは、サービスから要求されるスコープを定義するための2つの選択肢を提供するセレクターが［権限］タブに追加されます。

   • ［Use default scopes（デフォルトスコープを使用）］：定義済みのすべてのスコープを要求します。

     

   • ［Customize scopes（スコープをカスタマイズ）］：ユーザーは、元のリストから必須以外のスコープを削除できます。必須スコープは消去できません。

     

4. ユーザーがコネクターを通じて追加のスコープリクエストを追加できるようにするには、［Allow users to request additional scopes（追加スコープの要求をユーザーに許可）］オプションを選択します。

   スコープは［Manually add scopes（スコープを手動で追加）］フィールドに入力できます。この入力フィールドの文字数制限は500です。スコープは個別に追加することも、スペースまたはカンマ区切りのスコープリストとして追加することもできます。区切り文字は、［Scopes Delimiter（スコープ区切り文字）］フィールドの選択と一致させます。

   このオプションを選択しない場合、ユーザーはOkta Ideasサイトを通じてコネクターへの新規スコープの追加を求めることができます。このリンクは、［権限］タブの下部にあります。

   このオプションは、［Allow users to customize scopes（スコープのカスタマイズをユーザーに許可）］オプションを有効にした場合にのみ利用できます。

リフレッシュトークンを取得するために特別なスコープ（refresh_tokenやoffline_accessなど）が必要かどうかについては、APIのドキュメントを参照してください。

ユーザーが個々のスコープを区切って入力するための区切り文字を指定します。

選択肢はSpaceとCommaです。

パラメーターを使用することで、インスタンスやサブドメインなど、認証に必要な追加情報をコネクターユーザーから収集できます。これらのフィールドは、ユーザーが接続を最初に作成する際に表示され、必須です。

Label（ラベル）：コネクターのセットアップ時に新規接続ダイアログに表示されるパラメーターの名前。

Key（キー）：サービスで使用されるキー/値ペアのテキスト値。たとえば、api_key、application_key、authentication。

Type（タイプ）：3つのフィールドタイプから選択できます。

• テキスト：ユーザーにプレーンテキストフィールドを表示します。これは、加工なしのオープンテキストフィールドです。

• パスワード：加工されたテキストフィールドを表示します。このフィールドに入力したテキストはユーザーには表示されません。

• ドロップダウンリスト：ユーザーが選択する値の、手動で作成されたドロップダウンリストを表示します。