Postman を使った 3-legged 認証・認可(OAuth v2)

Authentication API（OAuth API）が v2 に移行にともなって、Postman による Viewer 利用手順の理解 – 3 legged 認証 のようなワークフローでも使用するエンドポイントを変更する必要が生じます。

具体的には、従来の GET authorize  エンドポイントと POST gettokenエンドポイントから GET authorizeエンドポイントと POST token エンドポイントに変更します。ここでは、新しいエンドポイントを使ったユーザ認可を経て、アクセストークンを取得する方法をご紹介しておきます。

1. Postman 上で 3 Legged 認証で使用する Callback URL は、https://www.getpostman.com/oauth2/callback に設定する必要があります。まず、APS ポータル（https://aps.autodesk.com）に新規にアプリを作成するか登録済のアプリを編集して、Callback URL を、この値に変更してください。
   
2. 続いて、Postman 側で OAuth2 の 3 legged 認証の設定をしていきます。 Postman を起動して、新しいタブ（New Request）上で Authorization タブを選択します。
   
3. Authorizationタブ名の下にある Type には、ドロップダウン リストから「OAuth 2.0」を選択します。
   
4. Authorizationタブを下方向にスクロールして Configure New Token 欄の各値を入力していきます。
   
5. Configure New Token 欄の各項目に、次の値を入力していきます。
   – Token Name = Postman 上の保存名です。他の Postman コレクション名と同じく任意で結構です。
   – Grant Type = Authorization Code
   – Callback URL = https://www.getpostman.com/oauth2/callback（1. で指定）
   – Auth URL = https://developer.api.autodesk.com/authentication/v2/authorize
   – Access Token URL = https://developer.api.autodesk.com/authentication/v2/token
   – Client ID = APS ポータルで作成したアプリ設定の Client ID
   – Client Secret = APS ポータルで作成したアプリ設定の Client Secret
   – Scope = APS アプリで必要となる Scope の値（例：data:read data:write data:create）
   – State = 未指定
   – Client Authentication = Send as Basic Auth header
   
6. ここまでの設定で、3 legged 認証の準備が整いました。[Get New Access Token]  ボタンをクリックしてみてください。オートデスク アカウントのユーザ名（Autodesk ID）の入力を促す画面が表示されるはずです。
   
7. Autodesk ID を入力して [    次へ   ]  をクリックすると、パスワードの入力画面に遷移します。 パスワードの入力後、 [     サイン  イン   ] をクリックしてサインインを完了してください。
   
8. 入力した Autodesk ID とパスワードで認証が完了すると、この Autodesk ID を持つユーザのストレージに APS アプリがアクセスする許可を求められます。画面中央に表示されているアクセス権限は、5. で指定した Scope の内容に沿ったものとなります。
   
9.  [    許可    ] をクリックすると、APS アプリがユーザ ストレージにアクセスすることを許可（認可）したことになります。
10. 取得出来た Access Token を含むダイアログが表示されます。 [Use Token]  をクリックします。
    
11. ここまでの処理で、「Access Token」欄に取得した Access Token の値が追加されているはずです。この値を利用して、RESTful 呼び出しで他のエンドポイントのテストをおこなうことが出来ます。
    

一度、使用した認証プロセスは、Token Name 名で再利用することが出来ます（ここでは APS Access Token）。A360 などのストレージ アクセスを Postman でテストする場合は、ここまでの手順で Callback URL をした 3-legged 認証 をシミュレーションすることが出来ます。 

By Toshiaki Isezaki