> ## Documentation Index
> Fetch the complete documentation index at: https://documentation.onesignal.com/llms.txt
> Use this file to discover all available pages before exploring further.
# キーとID
> OneSignalのApp ID、Organization ID、APIキーを確認・管理する方法。キーの作成、ローテーション、セキュリティ保護、安全な移行方法を説明します。
OneSignalアカウントには、**パブリックID**（App ID、Organization ID）と**プライベートAPIキー**（App APIキー、組織APIキー）が含まれています。
* [App ID](#app-id)と[組織ID](#organization-id)はパブリック識別子で、クライアント側のコードとSDK初期化に安全に使用できます。
* [App APIキー](#app-api-key)と[組織APIキー](#organization-api-key)はプライベートシークレットです。安全に保管し、クライアント側のコードで公開しないでください。
OneSignalダッシュボードの**Settings > Keys & IDs**（アプリレベル）または**Organizations > あなたの組織 > Keys & IDs**（組織レベル）で確認できます。
***
## App ID
**App ID**は、OneSignalアプリを識別するパブリックUUID（v4）です。
以下の用途で使用します：
* SDKの初期化（Mobile SDKセットアップ、Web SDKセットアップ）
* メッセージの作成やユーザーの作成などのAPIリクエスト
App IDは、ダッシュボードの**Settings > Keys & IDs**、または[アプリの表示](/reference/view-apps) APIで確認できます。
App IDはクライアント側のSDK初期化で安全に使用できます。シークレットではありません。
***
## 組織ID
\*\*組織ID（Org ID）\*\*は、請求プランの下にあるすべてのアプリをグループ化するUUID（v4）です。
以下のような組織レベルのAPIに必要です：
* [アプリの作成](/reference/create-an-app)
* [アプリの更新](/reference/update-an-app)
**Organizations > あなたの組織 > Keys & IDs**、または[アプリの表示](/reference/view-an-app) APIで確認できます。
***
## APIキー
APIキーには2種類あります。どちらもREST APIリクエストを認証するために使用し、秘密に保つ必要があります。実行したい操作に合ったキーを選んでください：
| キー | 用途 |
| -------------------------------- | ----------------------------------- |
| [App APIキー](#app-api-key) | 1つの特定のアプリ：メッセージの送信、ユーザーの作成、統計情報の確認。 |
| [組織APIキー](#organization-api-key) | 組織全体：アプリの作成や他のAPIキーの管理。 |
アプリごとに最大16個のApp APIキー、組織ごとに最大16個の組織APIキーを作成できます。
### App APIキー
**App APIキー**は、単一のアプリに限定されたREST APIリクエストに使用します：メッセージの送信、ユーザーの作成または更新、メッセージ履歴の確認など。
ダッシュボードでは既存のAPIキーの値は表示されません。キーID列の文字列は内部識別子であり、キーではありません。再度動作するシークレットを取得するには、以下の手順で新しいAPIキーを作成するか、[既存のキーをローテーション](#rotate-a-key)してください。ローテーションは同じキーID、名前、IP許可リストを保持したまま新しい値を生成し、古い値は即座に動作しなくなります。
**App APIキーを作成する**
以下の手順でダッシュボードからApp APIキーを作成するか、[APIキーの作成](/reference/create-api-key) APIを使用してください。
OneSignalダッシュボードでアプリを選択し、**Settings > Keys & IDs**に移動します。
分かりやすい名前を入力します（例：`Backend service`）。任意で[IP許可リスト](#ip-allowlist)を追加し、承認されたサーバーからのみキーが使用できるように制限できます。
値は`os_v2_app_`で始まり、**一度だけ**表示されます。シークレットマネージャーまたはバックエンドの環境変数にすぐに保存してください。
App APIキーはパスワードのように扱ってください：
* モバイルやWebのクライアントコードで公開しないでください。
* パブリックリポジトリ（GitHubなど）にコミットしないでください。
* セキュアなバックエンドまたはシークレットマネージャーに保管してください。
### 組織APIキー
**組織APIキー**は、組織内のすべてのアプリにまたがる操作に使用します。一般的なエンドポイント：
* **アプリ管理：**[アプリの作成](/reference/create-an-app)、[アプリの表示](/reference/view-apps)
* **APIキー管理：**[APIキーの作成](/reference/create-api-key)、[APIキーの削除](/reference/delete-api-key)、[APIキーのローテーション](/reference/rotate-api-key)
**組織APIキーを作成する：**
組織APIキーはダッシュボードからのみ作成できます。作成用のAPIエンドポイントはありません。
OneSignalダッシュボードで**Organizations > あなたの組織 > Keys & IDs**に移動します。
分かりやすい名前を入力します（例：`App provisioning`）。任意で[IP許可リスト](#ip-allowlist)を追加できます。
値は`os_v2_app_`で始まり、**一度だけ**表示されます。すぐに安全に保管してください。
組織APIキーは組織内のすべてのアプリへのアクセスを許可します。特に注意して取り扱い、組織全体へのアクセスが本当に必要なサービスとのみ共有してください。
***
## IP許可リスト
IP許可リストはオプションですが、強く推奨されます。APIキーの使用を特定のIPアドレスに制限することで、漏洩したキーが他の場所から使用されることを防ぎます。
* スペースで区切られたCIDRブロックを入力します（例：`192.0.2.0/24 192.0.2.123/32`）。
* 許可されていないIPからのリクエストは拒否されます。
IP許可リストの使用場面：
* 静的IPを持つバックエンドサービス。
* 高セキュリティの本番環境。
***
## APIキーの管理
キーを作成した後、**Settings > Keys & IDs**のキーリストから編集、ローテーション、または削除できます。App APIキーはREST API経由でもこれらの操作をサポートします。組織APIキーはダッシュボード専用です。
### キーの編集
シークレット値を変更せずに、名前またはIP許可リストを更新します。インテグレーションの変更は不要です。
ダッシュボード、または[APIキーの更新](/reference/update-api-key) APIを使用してください（App APIキーのみ）。
### キーのローテーション
ローテーションは、同じキーID、名前、IP許可リストを保持したまま新しいシークレットを生成します。古いシークレットは即座に動作しなくなります。
以下の場合にキーをローテーションしてください：
* キーが漏洩した場合。
* アクセス権を持つチームメンバーが退職した場合。
* 定期的なセキュリティローテーションの時期になった場合。
* 元のキー値を紛失し、動作するシークレットが必要な場合。
キーをローテーションした後、古い値を使用しているすべてのサービスを更新してください。古いキーでのリクエストは即座に失敗します。
ダッシュボード、または[APIキーのローテーション](/reference/rotate-api-key) APIを使用してください（App APIキーのみ）。
### キーの削除
削除はキーを永久に削除し、そのキーを使用するAPIアクセスを即座にブロックします。キーが不要になった場合に削除を使用してください。
ダッシュボード、または[APIキーの削除](/reference/delete-api-key) APIを使用してください（App APIキーのみ）。
***
## レガシーAPIキーからの移行
OneSignalは、命名、ローテーション、IP許可リストを備えたApp APIキーと組織APIキーを2024年11月に導入しました。レガシーのユーザー認証キー（User Auth key）と元のREST APIキーは引き続き使用できますが、それらの管理UIは削除されており、新規作成はできません。
置き換えるレガシーキーに応じて、新しい[App APIキー](#app-api-key)または[組織APIキー](#organization-api-key)を作成します。
OneSignalに対して認証を行うすべてのサービスで、レガシーキーを新しい値に置き換えます。
APIベースURLを`https://onesignal.com/api/v1/`から`https://api.onesignal.com`に変更します。
ステージング環境でAPIリクエストをテストし、その後**Settings > Keys & IDs**でレガシーキーを無効化または削除します。
本番環境でレガシーキーを無効化する前に、ステージング環境でAPIリクエストを検証してください。
***
## APIアクセスのブロック
キーを即座に失効させるには、**Settings > Keys & IDs**で[ローテーション](#rotate-a-key)または[削除](#delete-a-key)してください。古い値を使用したリクエストは即座に失敗します。
メッセージ送信を停止する、またはアプリ全体を一時停止するには、[無効化されたアプリと組織](./disabled-apps)を参照してください。
***
## セキュリティのベストプラクティス
* APIキーはセキュアなバックエンドに保管してください（クライアント側には置かないでください）。
* 環境変数またはシークレットマネージャーを使用してください。
* 可能な場合はIP許可リストを有効にしてください。
* 定期的にキーをローテーションしてください。
* ステージングと本番環境で別々のキーを使用してください。
***
## よくある質問
### APIキーはどこで確認できますか？
APIキーの値は`os_v2_app_`で始まり、キーの作成またはローテーションの直後に一度だけ表示されます。ダッシュボードの**キーID**列は内部識別子であり、APIキーではありません。認証に使用すると`401 Unauthorized`を返します。キーの値を保存していない場合は、[キーをローテーション](#rotate-a-key)して新しい値を生成してください。完全なフローについては[App APIキー](#app-api-key)または[組織APIキー](#organization-api-key)を参照してください。
### レガシーApp APIキーを取得できますか？
いいえ。OneSignalはレガシーApp APIキーを表示しなくなりました。コードベースで値が見つからない場合は、新しいApp APIキーを生成し、インテグレーションを更新してください。
### App ID、App APIキー、組織APIキーの違いは何ですか？
* **App ID**：アプリのパブリック識別子。SDKのセットアップとアプリを指定するAPIリクエストに使用します。
* **App APIキー**：1つのアプリのメッセージ送信とユーザー管理に使用するシークレットキー。
* **組織APIキー**：アカウント全体のアプリと組織レベルの設定を管理するために使用するシークレットキー。
### APIキーが漏洩した場合はどうなりますか？
すぐに[キーをローテーション](#rotate-a-key)してください。ローテーションは古い値を無効化し、同じキーID、名前、IP許可リストを保持したまま新しい値を発行します。その後、そのキーを使用するすべてのサービスを更新してください。予期しないAPIアクティビティがないか[監査ログ](./audit-logs)を確認してください。
***
## 関連ページ
リクエストを認証し、OneSignal REST APIを理解します。
キーごとのレート制限と大量送信インテグレーションのベストプラクティス。
キー、ユーザー、時間ごとにAPIとダッシュボードのアクティビティを確認します。
アプリを一時停止または停止し、課金への影響を理解します。