API認証

API認証とは何ですか?

API認証は、APIリクエストを送信するユーザーの身元を検証するプロセスであり、APIセキュリティの重要な柱のひとつです。API認証には、HTTP Basic認証、APIキー認証、JWT、OAuthなどさまざまな方式があり、それぞれにメリットやトレードオフ、適したユースケースがあります。しかし、どのAPI認証メカニズムにも共通する目的は、機密データを保護し、APIの不正利用を防ぐことです。

ここでは、API認証の主なメリットや一般的な認証方式を紹介するとともに、API認証とAPI認可の違い、API認証のベストプラクティスについて解説します。また、Postman APIプラットフォームが、API提供者とAPI利用者の双方にとって健全なAPI認証の実践をどのように支援するのかについてもご紹介します。

API認証にはどのようなメリットがありますか？

近年、多くの組織が新しい機能を実現し、ビジネス目標を達成するためにAPIへの注力を強めています。実際に、多くのチームがAPIファーストの開発モデルを採用しており、アプリケーションをAPIを通じて提供されるサービスの集合体として設計・構築しています。このアプローチでは、APIのパフォーマンスとスケーラビリティを高い水準で維持し、攻撃者の侵入口にならないようにするため、APIの品質とセキュリティを優先します。API認証はAPIを保護するための主要な手段のひとつであり、機密データの保護、ユーザーとの信頼関係の構築、そして企業の評判の保護に役立ちます。

最も一般的なAPI認証方式にはどのようなものがあり、どのように機能しますか？

API認証にはさまざまな方式があり、それぞれ異なる仕組みで動作します。以下の4つは、その中でも特によく利用されている認証方式です。

HTTP Basic認証

HTTP Basic認証は、API認証を実装する最も基本的な方法です。ユーザー名とパスワードの組み合わせを認証情報としてAuthorizationヘッダーに含め、Base64でエンコードして送信します。ただし、この認証情報はハッシュ化も暗号化もされないため、HTTPSと併用しない限り、安全性の低い認証方式となります。

APIキー認証

APIキーは、API提供者が登録ユーザーに発行する一意の識別子であり、利用状況の管理やアクセスの監視に使用されます。APIキーは、クエリ文字列、リクエストヘッダー、またはCookieのいずれかの方法で、すべてのリクエストに含めて送信する必要があります。HTTP Basic認証と同様に、APIキー認証もAPIキーの安全性を確保するためにHTTPSと併用する必要があります。

JWT認証

JWT（JSON Web Token）は、コンパクトでステートレスなAPI認証方式です。ユーザーがアプリケーションにログインすると、APIサーバーはユーザーの識別情報を含む、デジタル署名および暗号化されたJWTを生成します。その後、クライアントは後続のすべてのリクエストにJWTを含めて送信し、サーバーはJWTをデシリアライズして検証します。ユーザーデータをサーバー側で保持する必要がないため、スケーラビリティの向上につながります。

OAuth認証

OAuthは、ユーザーがログイン認証情報を共有することなく、サードパーティに自身のアカウントへのアクセス権を付与できるトークンベースの認証方式です。OAuth 1.0よりも高い柔軟性とスケーラビリティを備えたOAuth 2.0は、API認証のデファクトスタンダードとなっており、ユーザーデータを危険にさらすことなく、幅広いAPI統合を実現します。

API認証とAPI認可の違いは何ですか？

API認証はAPI認可とあわせて利用されることがよくありますが、両者は同じものではありません。API認証がユーザーの身元を検証するプロセスであるのに対し、API認可は、ユーザーが特定の操作を実行するために必要な権限を持っているかどうかを確認するプロセスです。API認可は、多くの場合、組織内におけるユーザーの役割に基づいて行われ、それぞれの役割にはあらかじめ定義されたアクセスレベルが設定されています。たとえば、ジュニアレベルの開発者は特定のエンドポイントのデータを参照する権限のみを持つ一方で、エンジニアリングマネージャーは担当範囲内のすべてのAPIエンドポイントに対する読み取り権限や書き込み権限を持つ場合があります。

PostmanはAPI認証をどのように支援しますか？

Postman APIには、API提供者とAPI利用者の双方が適切なAPI認証を実践できるよう支援する多くの機能が備わっています。Postmanを使えば、次のようなことが可能になります。

• 幅広い認証方式を活用する：Postmanは、OAuth 2.0、APIキー、JWT Bearerトークン、AWS Signatureを含む複数の認証方式を標準でサポートしています。これらの認証設定は、リクエスト、コレクション、またはフォルダー単位で定義できるため、設定の継承を容易にし、一貫性の向上に役立ちます。
• 認証に関するセキュリティ警告を受け取る： Postman APIガバナンスは、認証情報の露出や認証スキームの欠如など、認証に関連する問題を自動的に検出して警告します。また、警告には推奨される修正方法も含まれるため、問題を迅速に解決できます。
• 公開された認証トークンを自動的に検出する：Postmanトークンスキャナーは、パブリックワークスペース、コレクション、環境をスキャンし、公開された認証トークンを検出します。30を超えるサービスプロバイダーのトークンを標準でサポートしているほか、独自アプリケーションやサードパーティ製アプリケーションのトークンを検出するようカスタマイズすることも可能です。
• OAuth 2.0アクセストークンを自動更新する：Postmanは、OAuth 2.0アクセストークンの有効期限が切れる前に自動で更新できます。これにより、ユーザーは認可プロセス全体を繰り返す必要がなくなり、作業時間を節約できます。
• パブリックAPIの認証をすばやく行う：Postmanは、OpenAI、Notion、Twilioをはじめとする人気のAPIに対して、ユーザーを認証プロセスへガイドします。この機能により認証作業が簡素化され、Time To First Call（初回APIコールまでにかかる時間）を大幅に短縮できます。
• API監査ログを他のセキュリティデータと関連付けて分析する：チームは、組み込みのダッシュボードで監査ログを監視し、正当なユーザーのみがAPIを利用していることを確認できます。監査ログはPostman APIからも取得できるため、サードパーティ製のSIEMツールが提供するセキュリティデータとあわせて分析することも可能です。