この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。
OAuthで保護されたAPIへアクセスする際に使う期限付きの資格情報です。Refresh Tokenは新しいAccess Tokenを取得するために使われます。
情報確認基準日：2026-09-19
まず結論
OAuthで保護されたAPIへアクセスする際に使う期限付きの資格情報です。Refresh Tokenは新しいAccess Tokenを取得するために使われます。
| 用語 | 実務で確認すること |
|---|---|
| Identity | 人かワークロードか |
| Credential | 何を秘密として扱うか |
| Scope / Role | 何を許可するか |
| Token | 有効期限と保存方法 |
flowchart LR Principal[ユーザー / Workload] --> Auth[認証] Auth --> Credential[資格情報] Credential --> API[Google API] Scope[Scope / Role] --> API
実務でのポイント
認証と認可を分け、ユーザーOAuthとService Accountも用途を分けます。API Keyだけでユーザーの非公開データへアクセスできる、といった誤解を避けます。
セキュリティ
Access Token、Refresh Token、API Key、client secret、Service Account鍵を公開GitHubへ保存しません。可能な限り短命な資格情報と最小権限を利用します。
公式情報
次に何をすればよい？
利用するAPIの公式認証ガイドで推奨方式を確認し、必要なscope/roleだけを設定します。
個別一次情報の深掘り
Access TokenはAPI requestを認可するための短期credentialです。URL、Git、通常ログへ書かず、TLS経由で送信します。期限切れ後に長期利用する設計では、対応flowでRefresh Token等を用いて新しいAccess Tokenを取得します。
Google公式一次情報
Papanda TRY：Access Tokenの寿命をタイムライン表示
実token文字列は使わず、issued/expiresの架空時刻だけで「有効→期限切れ→再取得」をブラウザ表示します。Authorization headerへ秘密情報をログ出力しない設計も同時に示します。
結局どういうサービス？
OAuthで保護されたAPIへアクセスする際に使う期限付きの資格情報です。Refresh Tokenは新しいAccess Tokenを取得するために使われます。
補強監査メモ
認証・ID・API基盤の記事では、人間のユーザー認可とワークロードの認証を混同しないことを最優先にします。OAuth 2.0、API key、Service Account、Access/Refresh Token、ADCは同じ「鍵」の別名ではなく、目的・主体・寿命・保管方法が異なります。
実務チェック
誰がPrincipalか（人・サービス・外部ID）を先に決める。
必要最小限のscope / role / permissionを選ぶ。
長期秘密鍵をコードや公開GitHubへ置かない。
tokenをログへ出さない。
本番では公式の推奨認証方式とローテーション/失効手順を確認する。
401/403は「認証できない」と「権限が足りない」を分けて切り分ける。
Microsoft経験者への読み替え
Microsoft Entra IDのアプリ登録、OAuth/OIDC、managed identity、RBAC等の経験は概念理解に役立ちますが、Google側のPrincipal、Service Account、IAM Role、ADC、scopeは対応関係を個別に確認します。
