共通機能標準仕様書 別紙9-1 OAuth2.0アクセストークン発行API仕様書【第1.4版】
原本: デジタル庁「地方公共団体情報システム共通機能標準仕様書」の別紙 2026年9月30日公開分（ZIP、掲載ページ）の「別紙9-1_OAuth2.0アクセストークン発行API仕様書【第1.4版】.xlsx」。シートごとに見出しを立て、見出し行で始まる表は表に、それ以外の行は段落にした（値はセルの文字列のまま、結合セルの 2 つ目以降は空欄。表の外の行で文字が複数あるものはセルの値を空白でつないだ）。見出しが 2 段の表は列見出しを「 / 」でつないだ。シートに描かれた図形・画像（シーケンス図等）は載せていない。
表紙
地方公共団体情報システム
共通機能標準仕様書
OAuth2.0アクセストークン発行API仕様
第1.4版
令和8年9月
OAuth2.0アクセストークン発行API仕様
API仕様書 仕様名
OAuth2.0アクセストークン発行API仕様
概要
本資料はOAuth2.0アクセストークン発行を実施するためのAPI仕様について記述したものである。
「地方公共団体情報システムデータ要件・連携要件標準仕様書」の「文字要件」で定めた標準仕様に従う必要がある。
本APIでサポートするHTTPメソッドはPOSTとする。
提供可能なAPIコールについて
提供するAPIコールは、以下の通りである。
| No. | APIコール名 | 操作種類 | 概要 |
|---|---|---|---|
| 1 | oauth/v1/token | Create | OAuth2.0アクセストークン発行を実施する。 |
APIコールにおける補足事項
■通信プロトコル
本APIを利用する際の通信プロトコルは、HTTP1.1以上を採用する。
■要求元認証
本APIの要求元認証は、認証方式：client_secret_jwtで行う。
APIシーケンス（OAuth2.0）
API仕様書 仕様名
OAuth2.0アクセストークン発行API仕様
シーケンス図
凡例 APIのレスポンス、リクエストデータに関する説明
リクエスト_API仕様
API仕様書 仕様名
OAuth2.0アクセストークン発行API仕様
使用方法
本APIを使用してOAuth2.0アクセストークンの発行を要求する。
正常に発行が完了した場合は、アクセストークンが返却される。正常に発行されなかった場合は、失敗した理由がエラーメッセージとして返却される。
Content-typeにapplication/x-www-form-urlencodedを指定してデータを送信する形式でリクエストし、JSON形式で返却される。
HTTPメソッド：POST
リクエストヘッダー：Content-Type: application/x-www-form-urlencoded
留意事項
本APIが正常に終了した場合は、HTTPステータスコード200とJSON形式のレスポンスオブジェクトが返却される。（レスポンス_API仕様を参照）
送信したパラメータのチェックにてエラーとなった場合は、HTTPステータスコード400とJSON形式のレスポンスオブジェクトが返却される。（レスポンス_API仕様を参照）
クライアント認証情報（クライアントアサーション）が取得できない場合は、HTTPステータスコード401とJSON形式のレスポンスオブジェクトが返却される。（レスポンス_API仕様を参照）
処理が30秒以上経過した場合は、タイムアウトとなる。タイムアウトが発生した場合、原則HTTPステータスコード500番台のエラーが返却される。（JSON形式では返却されない）※目安として30秒と記載しているが、性能テストを踏まえ、適切なタイムアウト時間を設定されたい
サービスメンテナンス時も同様に原則HTTPステータスコード500番台のエラーが返却される。（JSON形式では返却されない）
上記以外の想定外エラーが発生した場合は、HTTPステータスコード503とJSON形式のレスポンスオブジェクトが返却される。（レスポンス_API仕様を参照）
※1 【必須】 ：「◎」・・・ パラメータまたはオブジェクトが必ず出現する。 「」（空白）・・・パラメータまたはオブジェクトが出現しない場合がある。
※2 【null設定有無】 ：「〇」・・・ 値にnullが設定される場合がある。 API記述例："nominal_segregation_address_num": null
「-」・・・値にnullは設定されない。
リクエストID oauth/v1/token_R01
パラメータ
| 項番 | パラメータ名 | 項目名 | 項目説明 | 記述例 | 必須※1 | データ型 | 文字種 | データ長 / 桁数 | 検索方法 | 備考 |
|---|---|---|---|---|---|---|---|---|---|---|
| 1 | grant_type | グラントタイプ | 利用するOAuth2.0のグラントタイプを指定する | grant_type=client_credentials | ◎ | 文字列 | 半角 英字 記号 | 18 | "client_credentials"で固定 | |
| 2 | client_assertion_type | クライアントアサーションタイプ | 利用するOAuth2.0のクライアントアサーションタイプ | client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer | ◎ | 文字列 | 半角 英字 記号 | 54 | "urn:ietf:params:oauth:client-assertion-type:jwt-bearer"で固定 | |
| 3 | client_assertion | クライアントアサーション | クライアントIDとクライアントシークレットから作成したクライアントアサーションJWT | client_assertion=eyJhbGciOiJSUzI1NiIsImtpZCI6IjIyIn0.eyJpc3Mi[...omitted for brevity...].cC4hiUPo[...omitted for brevity...] | ◎ | 文字列 | 半角 英数字 記号 | - | 生成方法は「クライアントアサーションJWT生成方法」参照 | |
| 4 | scope | 利用するAPIのリスト | 利用するAPIに対応するスコープを 「${提供側業務システムの業務システムID}:${リソース名}:${操作名}」で指定する スコープの文字列は下記に示す対応に基づいて決定する。 ・提供側業務システムの業務システムID：「地方自治体の基幹業務システムの統一・標準化における各種IDの管理方針」の業務ID ・リソース名：「共通機能標準仕様書 別紙API仕様書」のAPIコール名 ・操作名：「共通機能標準仕様書 別紙API仕様書」の操作種類 複数のスコープの指定が必要である場合は、スペース区切りで指定する。 | scope=031:app_submit/v1/jutogaishaatenakihonjohosyokai:Read | ◎ | 文字列 | 半角 英数字 記号 | - | 複数の提供側業務システムにアクセスする場合は、提供側業務システムごとに最小限のスコープを付与すること。 （記述例は、住登外者宛名基本情報に伴う情報のReadを表現したもの） |
クライアントアサーションJWT生成方法
API仕様書 仕様名
OAuth2.0アクセストークン発行API仕様
クライアントアサーションJWT生成方法
本APIのリクエストに必要なクライアントアサーションJWTの生成方法を記載する。
生成方法
1) ヘッダ部分のJSON文字列をbase64urlエンコードする
【例】 エンコード前のJSON : {"alg": "HS256"}
エンコード後の文字列 : eyJhbGciOiJIUzI1NiJ9
2) ペイロード部分のJSON文字列をbase64urlエンコードする
【例】 エンコード前のJSON : {"iss": "JTAxK5JPI4kmD63U4wautrSvaHj3WbBQ","sub": "JTAxK5JPI4kmD63U4wautrSvaHj3WbBQ","aud": "https://server.example.com/oauth/v1/token","jti": "KJmqpyT0Q2DhylAPnyxOeJEwvvsdhLE7kY87hepM23hgRMIWRvFURm7gtcQEGQrO72LI7bkfYAVx6NfBy0NT6e1MUkOHThUOcM4msIhv5kBhcoL7rx0UdnBStvxCMptV","exp": 1659281200,"iat": 1659280600}
エンコード後の文字列 : eyJpc3MiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJzdWIiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJhdWQiOiAiaHR0cHM6Ly9zZXJ2ZXIuZXhhbXBsZS5jb20vb2F1dGgvdjEvdG9rZW4iLCJqdGkiOiAiS0ptcXB5VDBRMkRoeWxBUG55eE9lSkV3dnZzZGhMRTdrWTg3aGVwTTIzaGdSTUlXUnZGVVJtN2d0Y1FFR1FyTzcyTEk3YmtmWUFWeDZOZkJ5ME5UNmUxTVVrT0hUaFVPY000bXNJaHY1a0JoY29MN3J4MFVkbkJTdHZ4Q01wdFYiLCJleHAiOiAxNjU5MjgxMjAwLCJpYXQiOiAxNjU5MjgwNjAwfQ
3) 1)で作成したbase64urlエンコード後の文字列と2)で作成したbase64urlエンコード後の文字列を"."で接続した文字列を、クライアントシークレットをキーに利用して、HMAC SHA-256アルゴリズムで計算した値をbase64urlエンコードする
【例】 署名対象の文字列 : eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJzdWIiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJhdWQiOiAiaHR0cHM6Ly9zZXJ2ZXIuZXhhbXBsZS5jb20vb2F1dGgvdjEvdG9rZW4iLCJqdGkiOiAiS0ptcXB5VDBRMkRoeWxBUG55eE9lSkV3dnZzZGhMRTdrWTg3aGVwTTIzaGdSTUlXUnZGVVJtN2d0Y1FFR1FyTzcyTEk3YmtmWUFWeDZOZkJ5ME5UNmUxTVVrT0hUaFVPY000bXNJaHY1a0JoY29MN3J4MFVkbkJTdHZ4Q01wdFYiLCJleHAiOiAxNjU5MjgxMjAwLCJpYXQiOiAxNjU5MjgwNjAwfQ
エンコード後の署名値 : dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
4) 1)で作成したbase64urlエンコード後の文字列、2)で作成したbase64urlエンコード後の文字列、3)で作成したbase64urlエンコード後の文字列を"."で接続した値が、クライアントアサーションJWT
【例】 生成したクライアントアサーションJWT : eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJzdWIiOiAiSlRBeEs1SlBJNGttRDYzVTR3YXV0clN2YUhqM1diQlEiLCJhdWQiOiAiaHR0cHM6Ly9zZXJ2ZXIuZXhhbXBsZS5jb20vb2F1dGgvdjEvdG9rZW4iLCJqdGkiOiAiS0ptcXB5VDBRMkRoeWxBUG55eE9lSkV3dnZzZGhMRTdrWTg3aGVwTTIzaGdSTUlXUnZGVVJtN2d0Y1FFR1FyTzcyTEk3YmtmWUFWeDZOZkJ5ME5UNmUxTVVrT0hUaFVPY000bXNJaHY1a0JoY29MN3J4MFVkbkJTdHZ4Q01wdFYiLCJleHAiOiAxNjU5MjgxMjAwLCJpYXQiOiAxNjU5MjgwNjAwfQ.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
※1 【必須】 ：「◎」・・・ パラメータまたはオブジェクトが必ず出現する。 「」（空白）・・・パラメータまたはオブジェクトが出現しない場合がある。
ヘッダ (JSON)
| 項番 | パラメータ名 | 項目名 | 項目説明 | 記述例 | 必須※1 | データ型 | 文字種 | データ長 / 桁数 | 検索方法 | 備考 |
|---|---|---|---|---|---|---|---|---|---|---|
| 1 | alg | アルゴリズム | 署名のアルゴリズム | "alg": "HS256" | ◎ | 文字列 | 半角 英字 記号 | 5 | "HS256"固定 |
ペイロード (JSON)
| 項番 | パラメータ名 | 項目名 | 項目説明 | 記述例 | 必須※1 | データ型 | 文字種 | データ長 / 桁数 | 検索方法 | 備考 |
|---|---|---|---|---|---|---|---|---|---|---|
| 1 | iss | 発行者 | クライアントアサーションJWTの発行者 | "iss": "JTAxK5JPI4kmD63U4wautrSvaHj3WbBQ" | ◎ | 文字列 | 半角 英数字 記号 | 32 | 要求元システムのクライアントIDを指定（32文字） | |
| 2 | sub | 主体 | クライアントアサーションJWTの主体 | "sub": "JTAxK5JPI4kmD63U4wautrSvaHj3WbBQ" | ◎ | 文字列 | 半角 英数字 記号 | 32 | 要求元システムのクライアントIDを指定 （32文字） | |
| 3 | aud | 対象者 | クライアントアサーションJWTの発行対象者 | "aud": "https://server.example.com/oauth/v1/token" | ◎ | 文字列 | 半角 英数字 記号 | - | 基本的には、認証認可サーバのURL(認証認可サーバのissuerの値)を含むものとする ただし、認証認可サーバを示す識別子の範疇を超えない限り（トークンエンドポイント等）、認証認可サーバ側の判断による変更も可能とする。変更する場合は、RP側に必ずその旨を伝えること。 | |
| 4 | jti | JWT ID | JWTのID | "jti": "KJmqpyT0Q2DhylAPnyxOeJEwvvsdhLE7kY87hepM23hgRMIWRvFURm7gtcQEGQrO72LI7bkfYAVx6NfBy0NT6e1MUkOHThUOcM4msIhv5kBhcoL7rx0UdnBStvxCMptV" | ◎ | 文字列 | 半角 英数字 記号 | - | 発行者が発行したJWTを一意に識別するためのID データの桁数は、一意に識別するために十分なエントロピーが確保可能な桁数を指定 | |
| 5 | exp | 有効期限 | クライアントアサーションJWTの有効期限 | "exp": 1659281200 | ◎ | 数値 | 半角 数字 | 10 | 発行されたクライアントアサーションJWTの有効期限のUNIX時間 | |
| 6 | iat | 発行時刻 | クライアントアサーションJWTの発行時刻 | "iat": 1659280600 | ◎ | 数値 | 半角 数字 | 10 | 発行されたクライアントアサーションJWTの発行時刻のUNIX時間 |
レスポンス_API仕様
API仕様書 仕様名 "
OAuth2.0アクセストークン発行API仕様
レスポンスID oauth/v1/token_S01
| 項番 | レベル | レスポンスオブジェクト名 / 階層 | レスポンスオブジェクト名 / 階層 | 項目名 | 項目説明 | 記述例 | 必須※1 | null設定有無※2 | データ型 | 文字種 | データ長 / 桁数 | 備考 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ■正常系（HTTPステータスコード：200、JSON形式でのレスポンス） | ||||||||||||
| 1 | 1 | レスポンスオブジェクト | { | ◎ | - | 構造化 | - | - | ||||
| 2 | 2 | access_token | アクセストークン | アクセストークンの文字列 | "access_token": "Kz | ◎ | - | 文字列 | 半角 英数字記号 | - | データ長の桁数は、発行するアクセストークンの文字列長を指定 | |
| 3 | 2 | token_type | トークンタイプ | アクセストークンの種別 | "token_type": "Bearer", | ◎ | - | 文字列 | 半角 英字 | 6 | "Bearer"固定 | |
| 4 | 2 | expires_in | 有効期間 | アクセストークンの有効期間 | "expires_in": 600, | ◎ | - | 数値 | - | - | 単位は秒 | |
| 5 | 2 | scope | スコープ | アクセストークンに紐付くスコープの一覧 | "scope": "031:app_submit/v1/jutogaishaatenakih onjohosyokai:Read" | ◎ | - | 文字列 | 半角 英数字記号 | - | 発行したトークンに紐付いているスコープ | |
| 6 | } | ◎ | - | 構造化 | - | - | ||||||
| ■正常系エラー（HTTPステータスコード：400 or 401、JSON形式でのレスポンス） | ||||||||||||
| 1 | 1 | レスポンスオブジェクト | { | ◎ | - | 構造化 | - | - | ||||
| 2 | 2 | error | エラーコード | エラーコード | "error": "invalid_request", | ◎ | - | 文字列 | 半角 英数字記号 | - | ||
| 3 | 2 | error_description | エラーメッセージ | エラーの内容 | "error_description": "必須パラメータがありません。" | ◎ | - | 文字列 | 全角 半角 英字 | - | ||
| 4 | } | ◎ | - | 構造化 | - | - | ||||||
| ■異常系（HTTPステータスコード：503、JSON形式でのレスポンス(ただし、30秒以上タイムアウトエラー、サービスメンテナンス中は、原則HTTPステータスコード500番台のエラーが返却され、JSON形式では返却されない)) | ||||||||||||
| ー | ー | ボディなし | - | - | - | - | - |
エラーコード一覧
| 項番 | エラーコード | エラーの内容 | HTTPステータスコード | 備考 |
|---|---|---|---|---|
| 1 | invalid_request | 必須のパラメータが設定されていない、パラメータのフォーマットが異なる、などのパラメータエラー。 | 400 | |
| 2 | invalid_client | 未登録のクライアントからのリクエスト、クライアントアサーションJWTが存在しない、クライアントアサーションJWTの検証が失敗するなどの場合。 | 401 | |
| 3 | unauthorized_client | 登録はされているが、利用を許可されていないリクエスト元からのアクセスの場合。 | 401 | |
| 4 | unsupported_grant_type | grant_type に client_credentiald 以外が指定されていた場合。 | 400 | |
| 5 | invalid_scope | 指定されたScopeに解釈できるものが存在しない場合など。 | 400 |