API キーを管理する

オープンクラウドは、API キーを使用して API へのアクセスを認証および認可し、データストアや場所などの経験にアクセスして使用する特定の資源に対する細かな権限とセキュリティ制御を追加できるようにします。

すべてのオープンクラウド API は、有効な権限を持つ API キーを作成し、リクエストに x-api-key ヘッダーを含める必要があり、これによりアプリケーションがオープンクラウドに代わって認証できます。

APIキーを作成する

個人が所有するエクスペリエンスまたはグループが所有するエクスペリエンスの API キーを作成して構成できます (Roblox グループでは、複数のクリエーターが同じエクスペリエンスで作業し、同じアセットを使用し、API キーを共有できます)。

グループのオーナーであるか、グループ内の役割に API キー管理許可があるため、グループに対する API キーを作成するには、グループ内の役割に割り当てられているか、グループのオーナーである必要があります。グループメンバーは、役割の同じリソースアクセス権を持つ API キーのみを作成できます。たとえば、グループエクスペリエンスの作成と編集権限を持つグループメンバーだけが、場所ファイルを公開できる API キーを作成できます。

API キーを作成するには：

ナビゲート to the クリエイターダッシュボード.
(オプション) クリックしてクリエイターハブドロップダウンを選択して、グループを作成する場合にグループを選択します。
左側のナビゲーションメニューでクラウドを開く → API キーを選択します。
クリックする API キーを作成するボタン。
API キーのユニークな名前を入力します。エクスペリエンスに公開場所を公開するための PLACE_PUBLISHING_KEY など、後で目的を思い出すのを助ける名前を使用します。
アクセス権セクションでは、 API 選択システムメニューから API を選択し、 API システム追加ボタンをクリックします。キーに複数の API を追加する必要がある場合は、このステップを繰り返します。
API キーでアクセスしたいエクスペリエンスを選択します。
エクスペリエンス操作ドロップダウンから、API キーに有効にしたい操作を選択します。

API リファレンスの多くの操作には、必要な許可スコープが含まれています。たとえば、フラッシュメモリストア操作は、universe.memory-store:flush権限必要です。

セキュリティ上の理由により、各APIキーに必要な最小許可数を付与します。API キーが漏洩すると、最小権限の原則により、リソースのサブセットだけが損なわれるようになります。
[セキュリティ] セクションで、CIDR 記述を使用して、IP アクセスをキーに明示的に設定し、そうでなければ API キーを使用できません。ローカルマシンの IP アドレスを見つけて、アクセスが必要なものとともに承認された IP アドレスセクションに追加できます。固定 IP がないか、ローカル環境でのみ API キーを使用している場合は、0.0.0.0/0 を承認された IP アドレスセクションに追加するだけで、どの IP も API キーを使用できるようにすることができます。
(オプション) : 資源に追加の保護を追加するには、明示的な期限を設定して、その期限後に自動的にキーの機能が停止します。
クリックする保存してキーを生成するボタン。
API キーストリングをコピーして保存し、コードの公開リポジトリではない安全な場所にではないに保存します。
クリエイターダッシュボードの API エクステンションページのクリエイトした API キーを確認します。

API キーストリングは、アプリケーションのパスワードと同等です。開発チーム外の誰かなど、信頼できないパーティーと決して共有しないでください。

グループ所有の API キー権限

グループ所有者は、グループメンバーがグループ所有の API キーの許可レベルを異ならせることができる API キーのロールと権限内のロールと権限に基づいて、グループ所有の API キーの許可を管理できます。また、グループメンバーの API キー管理許可を自動的に取り消す状況もあります。

許可付与

グループオーナーとして、グループ内のロールにすべての API キーを管理する権限を付与できます。この許可を持つメンバーには、グループオーナーが API キーに持つすべての権限があり、グループの API キー全体を作成、表示、取り消す、無効化、および監査する能力が含まれます。

また、グループ内の役割に自分の API キーの管理権限を付与することもできます。これにより、メンバーは他のメンバーのキーを管理できるのではなく、自分が所有するキーのみを作成して表示できます。

許可無効化

グループメンバーのグループ API キーの管理許可を自動的に取り消す複数の状況があります：

メンバーは、権限可がない別の役割に割り当てられます。これは、グループ所有権の移行中に発生する可能性があります。
メンバーの許可は、現在割り当てられた役割で無効になっています。
メンバーがグループから退出するか、削除されます。
メンバーのアカウントは Roblox によってモデレーションされています。

これらの場合のいずれかで、そのユーザーによって生成された API キーは、無効化状態が与えられます。これらのキーを再び使用するには、グループ所有者またはすべての API キーを管理する権限を持つメンバーがキーを再生する必要があります。

CIDR 形式

リソースをさらに保護するには、API キーを作成するとき、通常の IP アドレスまたは CIDR 記述を使用して API キーにアクセスできる IP アドレスを指定します。CIDR IP アドレスは、スラッシュと数字で終わる普通の IP アドレスと同じように見えますが、ネットワークルーティングに重要な IP アドレスのビット数を表すものです：

通常 : 192.168.0.0
CIDR ：192.168.0.0/24

前の部分は IP アドレスで、後の部分はネットマスク、バイナリ形式で 1s のビットをカウントします。前の例では、 24 は、 255.255.255.0 （24 1秒）を意味し、 192.168.0.0 から 192.168.0.255 までのすべてのIPを許可します。CIDR 形式を理解することは、アプリケーションをサーバー上で実行する予定の場合に特に役立ちます。

API キーステータ状況

API キーは最初はアクティブな状況態ですが、寿命の間に無効になる可能性があります。API キーがなぜステータスが変更され、API キーをアクティブな状状況に戻す方法を学ぶには、次の表を参照してください。

あなたまたはグループが 60 日間 API キーを使用または更新しない場合、期限切れ日が設定されていない場合でも自動的に期限切れします。これにより、悪意のあるアクターが古い API キーを使用するリスクが減少します。もう API キーを使用していない場合は、手動で無効にしたり削除したりする必要があります。

ステータス	理由	解像度
有効	問題なし。ユーザーはキーを使用して API 呼び出しを認証できます。	N/A
無効化済み	ユーザーは、キーの有効化トグルを無効にして、キーを無効にしました。	有効化キートグルを有効にします。
期限切れ	キーの有効期限が過期しました。	期限を削除または設定するか、新しい期限を設定します。
自動期限切れ	ユーザーは過去 60 日間、キーを使用または更新していません。	[有効化キー] トグルを無効にして有効にするか、名前、説詳細、または有効期限などのキーのプロパティを更新できます。
撤回済み	グループキーのみ。キーを生成したアカウントは、グループのキーを管理するのに十分なアクセス権をもう持っていません。	クリックするキーを再生するで、新しい秘密を取得します。
モデレート	Roblox 管理者が、セキュリティ上の理由でキーの秘密を変更しました。	クリックするキーを再生するで、新しい秘密を取得します。
ユーザーモデレート済み	キーを生成したアカウントは、RobloRoblox（ロブロックス）によってモデレーションされています。	アカウント上のモデレーション問題を解決します。