このページは Authlete 3.0 用です。2.x では API 認証（2.x） をご覧ください。2.x では Bearer トークンではなく API キーと API シークレット（HTTP Basic 認証）を使用します。
API 認証
すべての API エンドポイントは Bearer トークン認証で保護されています。リクエストごとにアクセストークンを含める必要があります。アクセストークンの取得
サービスアクセストークン
単一のサービス（1 つの認可サーバーインスタンス）にスコープされます。Core API（認可・トークン・イントロスペクション）や、そのサービスのクライアント・設定の管理に使用します。 サービスアクセストークンの取得手順- Authlete コンソールにログインする。
- 対象のサービスが属する組織を開き、サービスを開いてサービス概要を表示する。
-
サービス設定（クライアントを新規作成 の隣）をクリックする。
-
一般 タブで サービスアクセストークン までスクロールし、トークンを作成 をクリックする。
-
ダイアログでトークン名を入力し、権限を選択する。プリセット（認可サーバー＝
use_service、リソースサーバー＝use_introspectionなど）から選ぶか、個別に指定する。詳細は下記の権限を参照。
- トークンを作成 をクリックして生成し、表示されたトークンをすぐにコピーする — 表示は一度だけです。環境変数やシークレットマネージャーなど、安全な場所に保存する。
Authorization: Bearer <token> ヘッダーにこのトークンを含めてください。
組織トークン
組織全体にスコープされます。組織トークンは最も広いアクセスを持ち、適切な権限があれば組織内の任意のサービスに対してあらゆる API（Core API を含む）を呼び出せるほか、サービスの作成や組織監査ログの参照といった組織レベルの操作も行えます。通常は、組織全体の管理や、複数サービスにまたがる自動化（CI/CD・Terraform など）で使用します。 組織トークンの取得手順- Authlete コンソールにログインする。
- トークンを作成する組織を開く（まだなければ先に作成する）。
- サイドバーの 組織設定 を開く。
-
一般 タブで 組織アクセストークン までスクロールし、トークンを作成 をクリックする。
-
ダイアログでトークン名を入力し、必要な組織レベルの権限を選択する。たとえば CI/CD のプロビジョニングには管理者（デフォルト）プリセット（
create_service、modify_service、view_audit_log）、監査ログの参照のみならview_audit_logを選ぶ。詳細は下記の権限を参照。
- トークンを作成 をクリックして生成し、表示されたトークンをすぐにコピーする — 表示は一度だけです。安全に保管する。
Authorization: Bearer <token> ヘッダーにこのトークンを含めてください。
トークンの使い分け
最小権限（least privilege）の考え方に基づき、用途ごとに次のような使い分けを推奨します。用途を満たす範囲で最も狭いトークンを選んでください。
Core API の呼び出しには、サービスアクセストークンを推奨します。アクセス範囲が単一サービスに限定されるためで、組織トークンが漏洩すると、その影響が組織内のすべてのサービスに及びます。作業が本当に複数サービスにまたがる場合や、組織レベルの操作が必要な場合に組織トークンを使用してください。
権限
どちらのトークン種別を選んでも、トークンはきめ細かい権限（fine-grained permissions）を持ち、呼び出せる Authlete API はこの権限で決まります。たとえば Core API のみを呼び出す認可サーバーにはuse_service、リソースサーバーには use_introspection、プロビジョニングには create_client を使います。権限はトークン作成時に選択するため、ワークロードに必要な分だけを付与してください（最小権限）。
権限の全一覧と、各権限で呼び出せる API については、開発者ガイドの Service Access Tokens を参照してください。
トークンのセキュリティのベストプラクティス
- トークンをバージョン管理にコミットしない — 環境変数やシークレットマネージャー（AWS Secrets Manager、HashiCorp Vault など）に保存する。
- 定期的にローテーションする — 新しいトークンを発行し、古いトークンはコンソールから無効化する。
- 必要最小限の権限を付与する — トークン作成時にアプリケーションに必要な権限だけをリクエストする。
- 未使用のトークンは無効化する — 使わなくなったトークンはコンソールから削除する。
動作確認
次の API 呼び出しでトークンが有効か確認できます。us.authlete.com を該当するクラスターのホスト（例：eu.authlete.com、jp.authlete.com）に置き換えてください。
次のステップ
- はじめに — アカウント・組織・サービスを作成する。
- サンプル認可サーバーのセットアップ — サービスとサービスアクセストークンを作成し、デモ認可サーバーを動かす。
- OAuth 2.0 Basics — 認可サーバーが Authlete API をどう活用するかを理解するチュートリアル。