> ## Documentation Index
> Fetch the complete documentation index at: https://developer.box.com/llms.txt
> Use this file to discover all available pages before exploring further.
# 認証
> Boxの認証方法を比較し、それぞれで必要な資格情報とファイルを確認して、返されるアクセストークンが何を表しているのかを説明します。
export const SignupCTA = ({children}) => {
return ;
};
export const Link = ({href, children, className, ...props}) => {
const localizedHref = localizeLink(href);
return
{children}
;
};
各Box APIコールには[アクセストークン](#the-access-token)が含まれており、そのトークンによって、呼び出しがどのユーザーとして振る舞うのかがBoxに通知されます。アプリは資格情報をBoxと交換することでトークンを取得し、その交換方法が**認証方法**となります。
利用可能な方法は、
ユーザーアプリをサーバーアプリに変換したり、サーバーアプリをユーザーアプリに変換したりすることはできません。変更するには新しいアプリを作成してください。
無料のDeveloperアカウントを作成すると、開発者コンソールにアクセスして、アプリの作成、認証の構成、アクセストークンの生成を行うことができます。
本番環境のデータに影響を及ぼすことなく認証を試すには、[Developerサンドボックス](/guides/getting-started/sandbox)を使用してください。
## OAuth 2.0
OAuth 2.0は、ユーザーがアプリケーションに対して、別のアプリケーション内のデータへのアクセスを許可できるようにする[オープンスタンダード](https://oauth.net/2/)です。もしGoogleやFacebookでウェブサイトにサインインしたことがあるなら、すでにこの技術を利用しています。Boxも同様のフローを採用しています。アプリがユーザーをBoxに誘導し、ユーザーがログインしてリクエストを承認すると、Boxが承認コードを返し、アプリがそれをアクセストークンと交換します。
トークンはサインインしたユーザーに属するため、アプリはユーザーが所有またはコラボレーションしているコンテンツにのみアクセスでき、作成されるコンテンツはユーザー自身のアカウントに保存されます。
ユーザーがすでにBoxアカウントを所有しており、ユーザー自身でBoxにサインインさせたい場合は、OAuth 2.0を選択します。
クライアントシークレットの表示やキーペアの生成に際しては、Boxアカウントで[多要素認証 (MFA)](https://support.box.com/hc/en-us/articles/360043697154-Multi-Factor-Authentication-Set-Up-for-Your-Account) を有効にしておく必要があります。
### 資格情報ファイルがある場所
認証方法としてJWTを選択した場合のみ、Boxからユーザーにファイルを渡す処理が発生します。開発者コンソールで \[**公開/秘密キーペアを生成**] を選択すると、キーペアと認証に必要なアプリケーションの詳細が記載された`config.json`がダウンロードされます。そのファイルをソースコントロールの外部の安全な場所に保管しておき、実行時に読み込んでください。あるいは、同じ値を環境変数やシークレットマネージャから読み込むという方法もあります。ファイルの内容とその読み込み方法の詳細については、
Boxには秘密キーが保存されません。秘密キーを紛失した場合は、キーペア全体のリセットが必要になります。
`config.json`やクライアントシークレットは、リポジトリにコミットしないようにしてください。`.gitignore`に追加しておけば、そのような事態を予防できます。また、メールで送信したり、公開フォーラムに投稿したり、配布するネイティブアプリケーションやクライアント側のコードに含めたりしないようご注意ください。ブラウザのコードからBoxにアクセスする場合には、先にトークンを
```sh OAuth 2.0 theme={null}
curl -X POST https://api.box.com/oauth2/token \
-d "grant_type=authorization_code" \
-d "code=[CODE]" \
-d "client_id=[CLIENT_ID]" \
-d "client_secret=[CLIENT_SECRET]"
```
```sh Client Credentials Grant theme={null}
curl -X POST https://api.box.com/oauth2/token \
-d "grant_type=client_credentials" \
-d "client_id=[CLIENT_ID]" \
-d "client_secret=[CLIENT_SECRET]" \
-d "box_subject_type=enterprise" \
-d "box_subject_id=[ENTERPRISE_ID]"
```
```sh JWT theme={null}
curl -X POST https://api.box.com/oauth2/token \
-d "grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer" \
-d "assertion=[JWT_ASSERTION]" \
-d "client_id=[CLIENT_ID]" \
-d "client_secret=[CLIENT_SECRET]"
```
OAuth 2.0では、ユーザーによる同意の後にBoxから返される`code`が必要になります。これに対してJWTでは、秘密キーを使って署名したアサーションが必要です。
アプリが承認される前にサービスアカウントトークンを使用してAPIを呼び出すと、`unauthorized_client`エラーが表示されます (エラーメッセージ: `This app is not authorized by the enterprise`)。
サーバーアプリで扱えるのは、サービスアカウントだけではありません。CCGアプリは、