アプリを Manabu2 につなぐ最初の一歩は、アプリを登録してクライアント ID を得ることです。この記事では登録フォームの各項目と、後から変えられない項目について説明します。
この操作には 開発者 または 組織管理者 ロールが必要です。
登録の手順
- マイページを開き、対象の組織カードにある 「アプリケーション管理へ」 をクリックします。
- 右上の 「アプリを登録」 をクリックします。
- フォームに入力して保存します。
フォームの各項目
アプリ名
利用者に見える名前です。サードパーティ製アプリの場合、サインイン時の確認画面に「〇〇 が Manabu2 アカウントの利用を求めています」と表示されます。利用者が見て何のアプリか分かる名前にしてください。
クライアント ID
アプリを識別する公開の文字列です。英小文字・数字・ハイフンで 3〜64 文字。
クライアント ID は後から変更できません。
アプリの設定ファイルやビルド済みバイナリに埋め込まれる値なので、変更するとリリース済みのアプリが動かなくなります。登録前に決め切ってください。
例：acme-learning-app、acme-mobile、acme-intranet-sync
このアプリに許可する操作（スコープ）
アプリが要求できる操作の上限を決めます。詳しくは「スコープの選び方」を参照してください。
メンバー情報やレポートに関わるスコープは、組織管理者のみが許可できます。開発者ロールだけの場合、これらのチェックボックスは選択できない状態で表示されます。
リダイレクト URI
サインイン後に利用者を戻す先の URL です。1 行に 1 件ずつ入力します。
完全一致で照合します。
スキーム・ホスト・ポート・パス・末尾のスラッシュまで、1 文字でも違うと拒否されます。前方一致やワイルドカードは使えません。
これは仕様の厳しさではなく安全のためです。緩い照合を許すと、
https://app.example.com を登録した攻撃者が
https://app.example.com.attacker.test へ利用者を誘導し、認可コードを盗めてしまいます。
| 登録した値 | 送られてきた値 | 結果 |
|---|---|---|
acme://auth/callback | acme://auth/callback | 一致 |
acme://auth/callback | acme://auth/callback/ | 不一致（末尾スラッシュ） |
https://a.example/cb | http://a.example/cb | 不一致（http と https） |
http://localhost:8100/cb | http://localhost:3000/cb | 不一致（ポート） |
開発中のローカル URL も、使うなら登録しておいてください（例：http://localhost:8100/auth/callback）。
アプリの種別
公開クライアント
モバイルアプリ、デスクトップアプリ、SPA。
配布物は解析できるため、秘密の値を安全に保持できません。シークレットの代わりに PKCE という仕組みで保護します。迷ったらこちらです。
機密クライアント
自社サーバー上でのみ動作するアプリ。
クライアントシークレットが発行されます。ブラウザーやモバイル端末に配布されるコードでは使わないでください。
クライアントシークレット
機密クライアントとして登録すると、保存直後にシークレットが 1 度だけ表示されます。
この画面を離れると二度と表示できません。
当社側ではハッシュ化して保存しているため、元の値を取り出すことはできません。紛失した場合は再発行してください（再発行すると古いシークレットは直ちに無効になります）。
登録したあと
クライアント ID が発行されたら、サインインの実装に進めます。「Manabu2 アカウントでサインインさせる」を参照してください。
知っておくべき 2 つの制限
登録した組織のメンバーだけがサインインできます。
クライアント ID はリダイレクト URL に載るため他者にも見えますが、別組織の利用者がその ID を使ってサインインすることはできません。
この画面で登録したアプリでは、メールアドレスとパスワードを直接送るサインインは使えません。
認可コードフロー（リダイレクト方式）を使ってください。自社で書いたわけではないアプリに利用者のパスワードを預けさせない、という方針によるものです。
アプリを停止する
一覧の「停止」ボタンで、アプリを無効にできます。削除ではなく停止です。
- 停止すると、そのアプリでサインイン中の利用者は全員サインアウトされます
- そのアプリからの API 呼び出しはすべて拒否されるようになります
- 設定内容は残るため、後から再開できます
アプリのキーが漏れた疑いがある場合、まず停止してください。トークンの有効期限切れを待つ必要はありません。
