API トークンの利用

API トークンは、人間のユーザーと自動化システムが Fastly に身元を証明して信用できることを示す一意のセキュリティ認証情報です。Fastly API を介して制限されたリソースにアクセスしたり、特定の制限された操作を実行するユーザーとして信頼できることを示すのに使用されます。 API トークンの追加、表示、削除は API トークンページを使用して実行します。

API トークンについて

API トークンには、ユーザートークンと自動化トークンの2種類があります。それぞれの種類のトークンに対して、特定のアクティビティのスコープを指定することで、機能を任意で制限できます。

トークンの種類

2種類の API トークンがあります。トークンを管理できるかどうかは、割り当てられているロールと権限に基づいて決まります。

• 自動化トークン。自動化トークンは、人間以外のクライアント (継続的インテグレーションやビルドのシステムなど) にセキュリティ認証情報を提供します。このようなクライアントは、継続的インテグレーションやデプロイのパイプライン、日常的なスクリプト化されたタスクなど、自動化された API アクティビティの実行に使用されます。自動化トークンは、「アカウントトークン」または「サービスアカウントトークン」と呼ばれることがあります。

  自動化トークンを作成できるのはスーパーユーザーのみです。 これらのトークンは特定の人間のユーザーに関連付けられることがないため、無期限に有効にすることが可能です。企業のプロファイル設定の一部としてのみ表示され、スーパーユーザーのロールが割り当てられた人間のユーザーのみが管理することができます。

• ユーザートークン。ユーザートークンは、人間のユーザーによって開始される API アクティビティに必要なセキュリティ認証情報を提供します。特定の人に関連付けられており、そのユーザーのアカウントが有効な期間のみ有効です。ユーザートークンは、「個人用トークン」または「個人用 API トークン」とも呼ばれます。

  誰でも自分のユーザートークンを作成および確認することができます。 これらのトークンは、API 経由でアカウントに基づくアクションを実行するユーザーと同じ権限を持ちます。例えば、請求担当者のユーザートークンでは請求担当のロールに割り当てられている機能の実行のみが許可されます。ユーザーのアカウントを削除する場合、有効な API トークンを無効化する必要があります。

トークンのスコープ

サービスに関連したアクティビティのスコープを指定することで、API トークンの機能を制限することができます。具体的には、以下のように API トークンを許可または制限することができます。

• Global API access (global) が選択されているトークンの場合、サービスを完全にコントロールすることができ、パージを含むすべての API エンドポイントにアクセスできます。
• Purge full cache (purge_all) が選択されているトークンの場合、purge_all API リクエストを通してサービス全体でパージを実行できます。
• Purge select content (purge_select) が選択されているトークンの場合、サロゲートキーや URL を使用してパージを実行できますが、すべてのキャッシュをパージすることはできません。
• Read-only access (global:read) が選択されているトークンの場合、アカウント情報や設定、統計情報を読み取ることのみできます。

制約事項とベストプラクティス

API トークンの管理および使用時には、以下の制限に留意してください。

• API トークンは作成、表示、削除のみ可能です。編集や更新はできません。
• 各ユーザーにつき、有効な API トークンは100個に制限されています。削除済みおよび期限切れのトークンは、この制限にカウントされません。
• 未使用のトークンは永久に有効ではありません。2年間にわたって未使用状態の API トークンは、有効期限なしに設定されていたとしても自動的に削除されます。
• ロールと権限によって、イベントログに表示される項目は異なります。 ユーザーに割り当てられたユーザーロールと権限によって、API トークン作業の表示時にイベントログに表示される、あるいは表示されない事項は異なります。具体的には、user ロールが割り当てられている場合、自分のアクションから生じたイベントのみが表示されます。engineer ロールが割り当てられている場合、自分自身のアクションに関連するすべてのイベントに加えて、アクセスを許可されたサービスに対するすべてのアクションが表示されます。

API トークンを作成する際には、以下のベストプラクティスにも留意してください。

• トークンを機密情報として扱い、安全に保管すること。 新しいトークンを生成するときには、パスワードマネージャーなどの保護された場所に保存し、機密性と安全性を確保する必要があります。セキュリティ上の理由により、トークンをコピーできるのは作成時に一度だけです。後でトークンの文字列を取得することはできません。
• 最小限の特権の付与を検討すること。トークンのサービスへのアクセスの制限、スコープの指定、有効期限の設定により、その認証情報で可能なアクセスを制限し、セキュリティ認証情報が何らかの形で侵害された場合のリスクを最小限に抑えることができます。詳細については、最小特権の原則をご覧ください。

API トークンの作成

API トークンの作成は、以下の手順で行います。

1. Fastly コントロールパネルにログインします。
   重要

   ユーザートークンを作成する場合は、正しいアカウントのトークンを作成していることを確認してください。 複数のアカウントにユーザーとして招待されている場合は、まず最初に適切なアカウントへと切り替える必要があります。

2. Account > Personal profile > API tokens に移動します。

3. Create token をクリックします。

4. プロンプトが表示されたら、パスワードを入力して権限を再認証します。

5. 以下の説明に従って Create a Token ページの各フィールドに入力します。

   • Name フィールドに、そのトークンが使用される方法と場所を示す、分かりやすい名前を入力します。
   • Type オプションでは、作成する API トークンの種類を任意で選択します (User token または Automation token)。自動化トークンを作成できるのは、スーパーユーザーのみです。Automation token を選択すると、そのトークンのユーザーロールを指定するセクションが表示されます。
   • Role オプションで、API トークンに適切なアクセス権限を割り当てるユーザーロールを選択します。使用可能なオプションは、Engineer、User および Billing です。 詳細は、ユーザーロールと権限の設定に関するガイドをご覧ください。
   • (オプション) 必要に応じて、TLS management を選択し、トークンに TLS 証明書とドメインを含むすべてのサービスで TLS 設定を変更する権限を付与します。
   • Scope オプションで、1つ以上のチェックボックスにチェックを入れて、トークンのアクセスを特定のスコープに制限します。選択した役割に適用されるスコープオプションのみが選択可能になります。詳細は、ユーザーロールと権限の設定に関するガイドをご覧ください。
   • Access オプションで、すべてのサービスを選択するか、Search or select service メニューで特定のサービスまたはサービスのグループを選択し、トークンのアクセスをそれらのサービスに制限します。
   • Expiration オプションで、トークンの有効期限の範囲を設定します。デフォルトでは、コントロールパネルによって有効期限はトークンが作成された日から90日間に設定されます。ただし、トークンの有効期限を無期限に設定することも、期限切れになる特定の日付を選択することもできます。
   ヒント

   トークンの有効期限が切れた後にそのトークンを何らかのリクエストに使用すると、HTTP 401 のレスポンスが返されます。

6. Create Token をクリックして、新しいトークンを作成します。新しいトークンとその作成通知が表示されます。これが、Fastly API を通じて認証を行う際に使用するクレデンシャルになります。同一のトークンを複数のアプリケーションで使用することができます。

7. クリップボードをクリックして API トークン文字列をコピーし、機密性が高い安全な場所に保存してください。

   警告

   API トークン文字列が表示されるのは、この時だけです。 すぐにコピーして安全な場所に保存してください。二度と表示されることはありません。

8. OK をクリックします。

API トークンの表示

API トークンを表示するには、以下の手順に従ってください。

ユーザートークンの表示

個人のユーザートークンを表示するには、以下の手順に従ってください。

1. Fastly コントロールパネルにログインします。

2. Account > Personal profile > API tokens に移動します。API Tokens ページにお客様の個人用トークンのリストが表示されます。

   

アカウントトークンの表示

スーパーユーザーのロールが割り当てられている場合、以下の手順でアカウントトークンを表示できます。

1. Fastly コントロールパネルにログインします。

2. Account > Account tokens に移動します。 Account Tokens ページに、組織の Fastly アカウントに関連付けられたトークンのリストが表示されます。

   

API トークンの削除

ユーザートークンまたは自動化トークンを削除するには、以下の手順に従ってください。

ユーザートークンの削除

ユーザートークンを削除するには、以下の手順に従ってください。

1. Fastly コントロールパネルにログインします。
2. Account > Personal profile > API tokens に移動します。
3. 削除するトークンを見つけて、ゴミ箱をクリックします。
4. Delete をクリックして、ユーザートークンを完全に削除します。

アカウントトークンの削除

スーパーユーザーとして、アカウントトークンを削除する、または別のユーザーのトークンを無効にするには、以下の手順に従ってください。

1. Fastly コントロールパネルにログインします。
2. Account > Account tokens に移動します。
3. 削除するトークンを見つけて、ゴミ箱をクリックします。
4. Delete をクリックして、トークンを完全に削除します。

レガシー API 認証情報

Fastly のアカウントを2017年5月15日以前に作成されている場合、API リクエストの認証に API キー (1つまたは複数の API キー) を使用している可能性があります。このアカウントレベルの認証情報は、global スコープを持ちすべてのサービスにアクセスできる API トークンに移行されました。Global API Token という名前で新規作成されたシンセティックユーザーに割り当てられていました。