| 発表日 | ロールアウト開始日 | ロールアウト終了日 |
| 2024年8月27日 | 2024年8月27日 | 2025年2月17日 |
OAuth 2.0ベストプラクティスに準拠するために、Zendeskは2025年2月17日からアクセストークンのインプリシットおよびパスワードグラントの受け付けを停止します。この提供終了はChat、Sell、Sunshineには適用されません。
古いタイプのグラントではセキュリティが不安なため、できるだけ早く認証コードフローまたはAPIトークンに切り替えることをお勧めします。
このお知らせの内容は以下のとおりです。
変更内容
2025年2月17日、Zendeskはアクセストークンを取得するための有効なグラントタイプとして、インプリシットグラントとパスワードグラントの使用の受け付けを停止します。顧客は、 認証コードフロー のグラントタイプまたはAPIトークンのいずれかに移行する必要があります。本日から、APIコールの認証にOAuth 2.0を使用したい人は、認証コードフローのグラントタイプのみを使用することができます。
Zendeskがこの変更を行う理由
OAuth 2.0のベストプラクティスに沿って、インプリシットグラントとリソース所有者のパスワード資格情報（パスワード）グラントは現在、OAuth 2.0セキュリティのベストプラクティスによって安全ではないと見なされ、許可されません。
Implicit Grantは、追加の認証コードステップを必要とせずにアクセストークンを直接返すために推奨されていました。これは、client_secretを安全に保存できないパブリックOAuthクライアントに必要でした。この方法は、クライアントの確認なしにHTTPリダイレクト経由でアクセストークンを送信するため、セキュリティ上のリスクがあるため、現在は推奨されていません。これは、よりセキュアな認証コード許可（PKCE）（Proof Key for Code Exchange）に置き換えられました。パスワードグラントは、ユーザーの資格情報を使用してアクセストークンを取得する旧式の手段です。この方法では、クライアントアプリケーションがユーザーのパスワードを処理し、認証サーバーに送信する必要があり、攻撃対象領域が増加するため、現在は推奨されていません。また、2要素認証とは互換性がありません。
必要となる作業
Implicit Grant Flow（インプリシットグラントフロー）を使用している場合、以下の作業を行う必要があります。
-
/oauth/authorizations/newエンドポイントへの現在のコールを更新して、response_type: tokenではなくresponse_type: codeを使用し、まだ存在しない場合はredirect_uriおよびstateパラメータを含めます。パブリッククライアントを使用する場合、必ずcode_challengeおよびcode_challenge_methodパラメータが含まれます。code_challengeを生成する方法の詳細については、「code_challenge値の生成」を参照してください。 - OAuthクライアントで、新しい折り返し電話のエンドポイントを更新または実装します。詳細については 、「アプリケーションでのOAuth認証の 使用」および 「PKCEを使用したZendesk OAuthアクセストークンのセキュリティ強化」のセクション で、認証コード許可の実装の詳細について参照してください。パブリッククライアントの場合、または
/oauth/authorizations/newコールにcode_challengeを含める場合は、/oauth/tokensエンドポイントを呼び出すときに必ずcode_verifierを含めます。 - でクライアントを更新する
/admin/apps-integrations/apis/zendesk-api/oauth_clients管理センターで、新規または更新したリダイレクト先URIを含める（まだ存在しない場合）。 - テストと検証が完了したら、最高レベルのセキュリティを提供できるように、管理センターの
/admin/apps-integrations/apis/zendesk-api/oauth_clientsにあるクライアントの種類を「パブリック」または「機密」に更新することをお勧めします。
現在、パスワードグラントフローを使用している場合は、代わりに APIトークン を使用する必要があります。
この発表に関連するフィードバックや質問がある場合は、コミュニティフォーラムにアクセスしてください。このフォーラムでは、顧客から寄せられた製品フィードバックを収集し管理しています。Zendesk製品に関する一般的なサポートについては、Zendeskカスタマーサポートにお問い合わせください。
翻訳に関する免責事項：この記事は、お客様の利便性のために自動翻訳ソフ トウェアによって翻訳されたものです。Zendeskでは、翻訳の正確さを期すために相応の努力を払っておりますが、翻訳の正確性につ いては保証いたしません。
翻訳された記事の内容の正確性に関して疑問が生じた場合は、正式版である英語の記事 を参照してください。