# 認証・権限・安全な認証情報

正規URL： https://sosoapi.ai/ja/docs/authentication

エージェントはOAuthでログインし、サーバーは個人用アクセストークンを使い、必要権限を選びます。

## 呼び出し元の認証情報を選ぶ

エージェントにはブラウザーOAuthを使用します。本人がログインしてアクセスを選び、CLIが認証情報を保存・更新します。バックエンドスクリプトやCIにはVICKY_API_KEYで個人用アクセストークンを指定します。認証情報はブラウザーコード、公開リポジトリ、プロンプト、スクリーンショット、共有ログに含めないでください。

HTTP例はBearer値用のサーバー環境変数SOSOAPI_ACCESS_TOKENを使います。例の変数で、CLI設定ではありません。操作ごとの認証要件を確認してください。個人用アクセストークンはAPIキーを管理できません。

```
npx sosoapi auth login
```

```
npx sosoapi auth status
```

```
npx sosoapi auth logout
```

- [完全なAPIリファレンス](https://sosoapi.ai/ja/docs/api)

## 範囲と機能権限

各リクエストでワークスペース所属と操作に必要なロールを確認します。委任OAuthは選択されたワークスペースと機能にも制限されます。agent:operateは読み取り・準備、agent:publishは予約・公開、agent:engageはコミュニティ書き込みです。APIキー管理には別の権限が必要です。

個人用アクセストークンは、所有者のロールと保存された機能・ワークスペース制限に従います。連携に必要なアクセスだけを選んでください。任意制限を省略すると、幅広いアクセスが残る場合があります。coreとfullは表示ツールを変えるだけで権限は変えません。公開権限は認可範囲内で継続し、投稿ごとのブラウザー承認はありません。

## 認証情報の保存と失効

CLIは利用可能ならOSのキーチェーン、それ以外は所有者のみ読めるローカルファイルに認証情報を保存します。OAuthアクセストークンは一時間で、ログイン手順で更新されます。認証ファイルのコピーではなくauth statusで診断してください。

Settings → Agents & API Accessでデバイス・認可を失効するか、auth logoutで現在の端末からログアウトできます。以後のアクセスは止まりますが、公開の取消やSosoAPI受理済み予約のキャンセルはしません。別途管理してください。

## 認証初期設定のエンドポイント

四つのagent-authエンドポイントはログインプロトコルを説明します。対応CLIかリモートOAuthを使ってください。api postでは利用できません。config、request、session、revoke-currentで認証情報と入力が異なります。各スキーマに従い、セッション認証情報を出力やログに含めないでください。

- [認証エンドポイントリファレンス](https://sosoapi.ai/ja/docs/api)