HULFT Square REST API利用時のパスワード変更・アクセストークン更新操作の制限可否

質問

HULFT Square REST API実行専用ユーザーに対して、パスワード変更やアクセストークンの生成・更新・削除の操作をポリシーで制限することはできますか？

回答

ユーザー自身が [個人設定] から行うパスワード変更、およびアクセストークンの生成・更新・削除を個別に禁止する権限は用意されていないため、ポリシーによってこれらの操作だけを制限することはできません。

補足

[APIトークンの有効期限] の参照・変更は管理権限で制御できますが、これはユーザー自身によるアクセストークン更新の可否を制御するものではありません。また、この設定は組織内の全ユーザーに対して共通で適用されます。

REST API利用時のアクセス範囲を限定する構成として、以下の方法が考えられます。

・REST API呼び出し専用ユーザーを利用し、HULFT Square上の権限は最小限とする

・APIクライアントの [User allowlist] でREST APIを実行可能なユーザーを限定する

・固定IPからのアクセスが可能であれば、APIクライアントのIP許可リストで接続元を限定する

・必要に応じてサインイン接続制限も利用する（HULFT Squareへのサインイン元を制限したい場合に設定する）

・認証情報はBATファイル等へ平文で保持せず、OSの資格情報管理機能やSecret Manager等を利用して安全に管理する

・顧客単位で認証情報の分離や失効が必要な場合は、顧客ごとにAPI呼び出し専用ユーザーを分ける

なお、バッチ等からLogin APIを利用してアクセストークンを取得する場合、サインイン接続制限を設定すると、バッチの実行元IPアドレスについても許可対象とする必要があります。サインイン接続制限に設定可能なIPアドレス数の上限はありません。