APIトークンを使ってみよう

（著者：サイボウズ kintone開発チーム 小林 大輔）

「APIトークン」とは

kintone の APIトークンとは、アプリごとに「トークン」と呼ばれる文字列を発行し、
この文字列をREST APIのリクエストヘッダに付けることで、REST APIを実行することができる、というものです。
従来のREST APIの実行方法に比べて、APIトークンを使ったREST APIの実行方法は様々なメリットがあります。

メリット１：ユーザIDとパスワードが必要ない

従来のREST APIの実行方法では、ユーザIDとパスワードをREST APIを実行するシステムに保存しておく必要がありました。
これではパスワードを変更することが難しくなりますし、REST APIを実行するシステムからユーザ情報が漏洩するリスクも発生してしまいます。
APIトークンでREST APIを実行する際にはユーザIDとパスワードは必要ないので、よりセキュアになります。

メリット２：限られたアプリにのみ、REST APIを実行できる

APIトークンは、アプリごとに作成され、作成されたアプリに対してのみREST APIを実行できます。
これによって、誤ったアプリを操作してしまうといった誤動作を防ぐことができます。

メリット３：実行できるREST APIの種類を制限することができる

APIトークンは、実行できるREST APIの種類を制限することができます。
例えば「アプリのレコード取得APIを実行できるが、レコード更新APIは実行できない」といった設定が可能です。
これによって意図しないAPIを実行してしまうといった問題を防ぐことができます。
また、万が一APIトークンが漏洩してしまった場合に、不正操作のリスクを最小限に抑えることができます。

APIトークンの作成

今回は、APIトークンを実際に作成し、レコード一括取得APIを実行してみましょう。

APIトークンを作成するには、アプリ管理画面を開きます。
アプリ管理画面の中にある「設定」タブをクリックし、表示された「カスタマイズ／サービス連携」メニューにある「APIトークン」をクリックしましょう。
以下のような画面が表示されます。

「生成する」ボタンを押すと、APIトークンが1つ生成され、「アクセス権」の欄にいくつかのチェックボックスが表示されます。
このチェックボックスを使って、作成したAPIトークンが実行できるAPIの種類を決めることができます。
デフォルトでは「レコード閲覧」にチェックが入っており、レコードの取得APIのみ実行できるトークンになります。

今回はこの設定のまま「保存」ボタンを押し、「設定完了」ボタンを押してアプリを更新しましょう。

APIトークンでREST APIを実行する

作成したAPIトークンを使ってみましょう。以下のようにcurlコマンドでREST APIを実行します。

curl -H "X-Cybozu-API-Token: {作成したAPIトークン}" "https://{ドメイン名}/k/v1/records.json?app=(アプリID)"

コマンドを実行すると、アプリに登録されているレコードが表示されます！
（※Basic認証を設定している場合は別途オプションが必要です。こちらのページの「-u オプション」をご参照ください）

また、複数の API トークンを指定すると、ルックアップフィールドを含むアプリのレコード登録や更新、関連レコードの取得ができます。
詳しくは「複数 API トークンを使ってできること」をご参照ください。

ご覧頂いたように、APIトークンを使うことで、ユーザIDやパスワードを使う必要がなくなり、よりセキュアにREST APIを実行することができます。是非使ってみて下さい！

※APIトークンはREST APIを実行するためのトークンであるため、JavaScript API内では利用できないので注意してください。

このTipsは、2014年6月版で確認したものになります。