アクセス許可

概要

Workplaceシステム管理者は、アプリを作成して特定のアクセス許可を付与することにより、各統合に提供される機能を制御できます。各アプリには、そのアプリで利用可能なサービスを反映した名前を付けることができます。アプリには固有のアクセストークンとアクセス許可があり、それによってアプリが読み取り/書き込みを行える情報がコントロールされます。

このガイドでは、アプリとアクセス許可モデルについて詳しく説明します。

カスタム統合アプリを編集する際のアクセス許可のコントロール

使用できるアクセス許可

各Workplaceアプリに固有のアクセス許可のセットを付与することにより、グラフAPIおよびアカウント管理APIで使用できる機能のレベルをコントロールできます。

アプリを作成してアクセス許可を付与すると、そのアクセス許可はコミュニティ内のすべてのアカウントに適用されます。アカウント所有者は、アプリの機能を使用するために、アプリに追加のアクセス許可を付与する必要はありません。この点で、各ユーザーがログイン時にアプリに対して個別にアクセス許可を付与するFacebookのアクセス許可モデルとは異なります。

統合で使用できるアプリのアクセス許可の一覧と、その使用方法の概要を以下に示します。

グループレベルのアクセス許可

一部のアクセス許可では、特定のグループに対してのみ統合を有効にすることができます。これにより、統合がアクセスする範囲を、公開したいコンテンツのみに限定できます。

例えば、アラートを投稿する統合がチーム独自のグループのみに投稿できるようにしたり、社員アプリ統合が特定の公開グループのコンテンツのみを読み取れるようにしたりすることができます。

カスタム統合のグループレベルのアクセス許可を指定するには、[統合を編集]ダイアログの[グループアクセス]パネルを使用します。

この統合でグループレベルのアクセス許可を有効にする

グループレベルのアクセス許可は、以下のアクセス許可に適用されます。

• グループのコンテンツの読み取り - 選択したグループの投稿、コメント、メンバープロフィールを読み取ります
• グループのコンテンツの管理 - 選択したグループの投稿とコメントを管理します
• グループの管理 - 選択したグループとそのメンバーを編集または削除します

統合では、グループレベルのアクセス許可の適用方法を、[すべてのグループ]、システム管理者が選択した[特定のグループ]、[グループ管理者は管理するグループでオンにできます]のいずれかに設定できます。

管理者のインストールフロー

[グループ管理者は管理するグループでオンにできます]を有効にすると、グループ管理者の[グループの管理]画面に新しい[統合]タブが表示され、自分のグループで統合を有効にできるようになります。

グループ管理者が有効にできるようになったアプリの例

アプリトークンとその使用方法

Workplace用の新しいアプリを作成すると、グラフAPI、アカウント管理API、Webhookで使用するアクセストークンが生成されます。

このアクセストークンは一度しか表示されないため、後ほどコードで使用できるように安全に保存しておくことが重要です。

カスタム統合アプリのトークンリセットフロー

Workplaceアプリのトークンは期限切れになることはなく、手動でリセットしない限り更新する必要はありません。特定のアプリで使用できるアクセス許可を編集しても、既存のトークンはそのまま機能し、新しいトークンの生成は不要です。

トークンを無効にする必要がある場合は、[アプリを編集]ダイアログの[アクセストークンをリセット]ボタンを使って、トークンをリセットできます。新しいトークンが生成されて表示され、既存のトークンは直ちに無効になります。

トークンのセキュリティ

アクセストークンは強力です。アクセストークンによって、Workplace上の会社のデータへのアクセスが可能になります。アプリを作成する際は、統合機能を完成させるために必要なアクセス許可を最小限にすることを検討し、不要なアクセス許可を付与しないでください。

トークンを保存する際や、コードリポジトリにトークンを追加する際は、間違った相手と共有しないように細心の注意を払う必要があります。

統合にセキュリティレイヤーを追加するには、IPホワイトリストを追加します。そうすることにより、トークンの使用をホワイトリストに登録されたIPアドレスのサーバーのみに制限することができます。

IPホワイトリストを追加して、トークンの使用を特定のサーバーに制限し、app secret証明を要求する

使用されていないアクセス許可の自動削除

特定のアクセス許可を使用する呼び出しがカスタム統合によって30日間行われなかった場合、そのアクセス許可は削除されます。この処理がカスタム統合で一度行われると、この削除プロセスを停止するオプションが使用できるようになります。

有効なWebhookサブスクリプションが設定されている場合、この処理によって送信されたWebhookは、該当のアクセス許可の使用としてカウントされます。

アクセス許可の自動削除のコントロール

app secret証明

Workplaceのアクセストークンは期限切れになりません。カスタム統合では、セキュリティレイヤーを追加するために、app secret証明が必要になる場合があります。[App Secret証明をオンにする]オプションを有効にすると、API呼び出しはサーバー側のコードからのみ行われるようになり、API呼び出しを行う際にはアクセストークンとともに有効期限付きのapp secret証明が必要になります。

有効期限付きのapp secret証明を生成するには、トークンとUNIXタイムスタンプをパイプ記号|で区切って連結し、連結した文字列のSHA-256ハッシュを作成して、app secretをキーとして使用する必要があります。PHPの例を次に示します。

$appsecret_proof = hash_hmac('sha256', $access_token.'|'.time(), $app_secret); 

app secret証明を使用してAPI呼び出しを行うには、生成されたハッシュをappsecret_proofパラメーターで渡します。その際、app secretをハッシュ化したときに使用したタイムスタンプに設定したappsecret_timeと、アクセストークンも一緒に渡します。

GET https://graph.facebook.com/v2.9/community/groups?
&access_token={access-token}
&appsecret_proof={appsecret_proof}
&appsecret_time={appsecret_time}

Postmanを使ったAPI機能の処理

Postmanは、ウェブAPIを操作するツールとして広く使われています。Postmanを使うとWorkplace APIを簡単に処理できますが、$appsecret_proofパラメーターを使用する場合は少々厄介です。この値は計算で求める必要があり、5分後に有効期限が切れます。したがって、リクエスト時にPostmanでこの値を生成できれば、処理が簡単になります。実際に、Postmanはリクエスト前スクリプトとパラメーターの機能を使用して、この処理を行うことができます。出発点として、次のスクリプトを使用できます。

// Add to Postman's Pre-request Script Tab
var access_token = "replace-me";
var app_secret = "replace-me";
var time = (new Date().getTime()/1000|0);
postman.setEnvironmentVariable("access_token", access_token)
postman.setEnvironmentVariable("appsecret_time", time);
postman.setEnvironmentVariable("appsecret_proof", CryptoJS.HmacSHA256(access_token + '|' + time, app_secret));

1) アクティブな環境を作成します(デフォルトではアクティブな環境は存在しません)。2) リクエスト前スクリプトで算出した3つのパラメーターを追加します。