> ## Documentation Index
> Fetch the complete documentation index at: https://auth0.com/llms.txt
> Use this file to discover all available pages before exploring further.

# トークンを取得

> Cross App Access（XAA）フローの一部として、信頼できるEnterprise IdPが発行したIdentity Assertion Authorization Grant（ID-JAG）を交換し、共有エンドユーザーに代わってResource AppのAPIを呼び出すためのアクセストークンを取得します。

`POST /oauth/token`

Cross App Access (XAA) は、信頼できるEnterprise IdP (Oktaなど) が発行したID-JAGを、共有エンドユーザーに代わってResource AppのAPI用にスコープが設定されたアクセストークンと交換できるOAuth拡張機能である[Identity Assertion Authorization Grant](https://datatracker.ietf.org/doc/draft-ietf-oauth-identity-assertion-authz-grant/)を実装しています。詳細については、[Cross App Access (XAA) のドキュメント](https://auth0.com/docs/ai-agents-mcp/cross-app-access.md)を参照してください。

> [!NOTE]
>
> Resource App向けのCross App Access (XAA) は**早期アクセス**です。Enterprise、B2B Pro、B2B Essentialのお客様は、Enterprise Connectionsの機能として利用できます。Freeテナントでも、トライアル期間中に試すことができます。この機能を使用することで、Oktaの[Master Subscription Agreement](https://www.okta.com/legal/?_gl=1*51wq70*_gcl_au*NzczNzM1NjYyLjE3ODE3NzY0MDI.*_ga*MTE3ODU0MTY1Ny4xNzgxNzc2NDAy*_ga_QKMSDV5369*czE3ODQ1NTM3ODckbzgyJGcxJHQxNzg0NTU0NzIxJGo1OCRsMCRoMA..)に記載されている該当のFree Trial規約に同意したものとみなされます。

## 注意事項

* Requesting App は、Resource App の Auth0 テナントに登録され、Cross App Access のトグルが有効になっている必要があります。
* このグラントでは、`refresh_token` と `id_token` は発行されません。新しいアクセストークンを取得するには、Requesting App は ID-JAG の有効期限が切れていなければ同じ ID-JAG を再利用するか、Enterprise IdP に新しい ID-JAG をリクエストできます。
* このエンドポイントでの ID-JAG の交換には、テナント全体の Authentication API のレート制限の最大 50% というレート制限が適用されます。詳細については、[レート制限の構成](https://auth0.com/docs/ja-jp/troubleshoot/customer-support/operational-policies/rate-limit-policy/rate-limit-configurations)を参照してください。

## リクエストボディ

**grant\_type** `string` *required*

使用するフローを示します。Cross App Access では、`urn:ietf:params:oauth:grant-type:jwt-bearer` を使用します。

**assertion** `string` *required*

信頼できる Enterprise IdP がエンドユーザー向けに発行した ID-JAG JWT。

**client\_id** `string` *required*

Resource App の Auth0 テナントに登録されている Requesting App のクライアント ID。他のグラントタイプと同様に、HTTP Basic Auth を使用して Authorization ヘッダーでクライアント ID を渡すこともできます。

**client\_secret** `string` *required*

Resource App の Auth0 テナントに登録されている Requesting App のクライアントシークレット。他のグラントタイプと同様に、HTTP Basic Auth を使用して Authorization ヘッダーでクライアントシークレットを渡すこともできます。

**resource** `string`

(任意) Auth0 テナント内のリソースサーバー (API) のリソース識別子。ID-JAG アサーション に `resource` クレーム が含まれている場合は、その値がこのパラメータより優先されます。ID-JAG またはリクエストボディでリソースが指定されていない場合は、テナントの[デフォルトの audience](https://auth0.com/docs/get-started/tenant-settings#api-authorization-settings)が使用されます。

## レスポンス

| ステータス | 説明 |
| - | - |
| 200 | 成功レスポンス。対象 API に対してスコープが設定されたアクセストークンを返します。 |
| 400 | 不正なリクエスト。アサーションの形式が不正である、期限切れである、必要なクレームが含まれていない、または必須パラメータが不足している場合に発生することがあります。 |
| 401 | 未認可。クライアント資格情報が正しくないか、アサーションの署名を検証できませんでした。 |
| 403 | 禁止。クライアントで Cross App Access が有効になっていないか、要求されたスコープが許可されていません。 |

```json 200 Response theme={null}
{
  "access_token": "eyJ...",
  "expires_in": 86400,
  "token_type": "Bearer",
  "scope": "read:items write:items"
}
```

```json 400 Response (無効または期限切れのアサーション) theme={null}
{
  "error": "invalid_grant",
  "error_description": "アサーションが無効か、有効期限が切れています"
}
```

## レスポンスフィールド

**access\_token** `string`

ID-JAG の `sub` クレームで識別されるエンドユーザー向けに発行された、対象 API 用にスコープが設定された Auth0 アクセストークン。

**token\_type** `string`

Authorization ヘッダーで使用する認証スキームを指定します。値: `Bearer`。

**expires\_in** `number`

アクセストークンの有効期間 (秒) 。

**scope** `string`

(任意) 付与されたスコープがリクエストされたスコープと異なる場合にのみ含まれます。実際に付与されたスコープのスペース区切りリスト。