新しい友達のために:

Logto は、モダンなアプリや SaaS 製品向けに設計された Auth0 の代替です。 Cloud と オープンソース の両方のサービスを提供し、アイデンティティと管理 (IAM) システムを迅速に立ち上げるのをサポートします。 認証 (Authentication)、認可 (Authorization)、マルチテナント管理を すべて一つに まとめて楽しめます。

Logto Cloud で無料の開発テナントから始めることをお勧めします。これにより、すべての機能を簡単に探索できます。

この記事では、Vanilla JS と Logto を使用して、Google サインイン体験（ユーザー認証 (Authentication)）を迅速に構築する手順を説明します。

前提条件

• 実行中の Logto インスタンス。始めるには 紹介ページ をご覧ください。
• Vanilla JS の基本的な知識。
• 使用可能な Google アカウント。

Logto でアプリケーションを作成する

Logto は OpenID Connect (OIDC) 認証 (Authentication) と OAuth 2.0 認可 (Authorization) に基づいています。複数のアプリケーション間でのフェデレーテッドアイデンティティ管理をサポートしており、一般的にシングルサインオン (SSO) と呼ばれます。

あなたの シングルページアプリ アプリケーションを作成するには、次の手順に従ってください：

1. Logto コンソール を開きます。「Get started」セクションで「View all」リンクをクリックしてアプリケーションフレームワークのリストを開きます。あるいは、Logto Console > Applications に移動し、「Create application」ボタンをクリックします。
2. 開いたモーダルで、左側のクイックフィルターチェックボックスを使用して、すべての利用可能な "シングルページアプリ" フレームワークをフィルタリングするか、"シングルページアプリ" セクションをクリックします。"Vanilla JS" フレームワークカードをクリックして、アプリケーションの作成を開始します。
3. アプリケーション名を入力します。例：「Bookstore」と入力し、「Create application」をクリックします。

🎉 タダーン！Logto で最初のアプリケーションを作成しました。詳細な統合ガイドを含むお祝いページが表示されます。ガイドに従って、アプリケーションでの体験がどのようになるかを確認してください。

Vanilla JS SDK を統合する

ヒント:

• vanilla-js SDK は フレームワークに依存しない ため、ラッパーを書いて適合させることで、任意のフロントエンドフレームワークで使用できます。
• サンプルプロジェクトは、私たちの SDK リポジトリ で利用可能です。

インストール

お好きなパッケージマネージャーを選ぶか、CDN を使用して Logto Browser SDK をインストールしてください。

npm

npm i @logto/browser

pnpm

pnpm add @logto/browser

yarn

yarn add @logto/browser

CDN

<!-- jsdelivr に特別な感謝を -->
<script type="module">
  import LogtoClient from 'https://cdn.jsdelivr.net/npm/@logto/[email protected]/+esm';
</script>

LogtoClient の初期化

LogtoClient インスタンスをインポートして、設定を渡して初期化します：

index.js

import LogtoClient from '@logto/browser';

const logtoClient = new LogtoClient({
  endpoint: '<your-logto-endpoint>',
  appId: '<your-application-id>',
});

endpoint と appId は、Logto Console のアプリケーション詳細ページで見つけることができます。

サインインとサインアウトの実装

リダイレクト URI の設定

詳細に入る前に、エンドユーザーの体験について簡単に説明します。サインインプロセスは次のように簡略化できます：

1. あなたのアプリがサインインメソッドを呼び出します。
2. ユーザーは Logto のサインインページにリダイレクトされます。ネイティブアプリの場合、システムブラウザが開かれます。
3. ユーザーがサインインし、あなたのアプリにリダイレクトされます（リダイレクト URI として設定されています）。

リダイレクトベースのサインインについて

1. この認証 (Authentication) プロセスは OpenID Connect (OIDC) プロトコルに従い、Logto はユーザーのサインインを保護するために厳格なセキュリティ対策を講じています。
2. 複数のアプリがある場合、同じアイデンティティプロバイダー (Logto) を使用できます。ユーザーがあるアプリにサインインすると、Logto は別のアプリにアクセスした際に自動的にサインインプロセスを完了します。

リダイレクトベースのサインインの理論と利点について詳しく知るには、Logto サインイン体験の説明を参照してください。

---

注記:

以下のコードスニペットでは、あなたのアプリが http://localhost:3000/ で実行されていると仮定しています。

リダイレクト URI を設定する

Logto Console のアプリケーション詳細ページに移動します。リダイレクト URI http://localhost:3000/callback を追加します。

サインインと同様に、ユーザーは共有セッションからサインアウトするために Logto にリダイレクトされるべきです。完了したら、ユーザーをあなたのウェブサイトに戻すと良いでしょう。例えば、http://localhost:3000/ をサインアウト後のリダイレクト URI セクションとして追加します。

その後、「保存」をクリックして変更を保存します。

リダイレクトの処理

ユーザーが Logto からあなたのアプリケーションにリダイレクトされた後に行うべきことがまだあります。適切に処理しましょう。

pages/Callback.js

const callbackHandler = async (logtoClient) => {
  await logtoClient.handleSignInCallback(window.location.href);

  if (!logtoClient.isAuthenticated) {
    // サインイン失敗の処理
    alert('サインインに失敗しました');
    return;
  }

  // サインイン成功の処理
  window.location.assign('/');
};

サインインとサインアウトの実装

logtoClient は、認証 (Authentication) フローを簡単に管理するための signIn と signOut メソッドを提供します。

注記:

.signIn() を呼び出す前に、Admin Console でリダイレクト URI が正しく設定されていることを確認してください。 :::

pages/Home.js

const isAuthenticated = await logtoClient.isAuthenticated();

const onClickSignIn = () => {
  logtoClient.signIn('http://localhost:3000/callback');
};
const onClickSignOut = () => {
  logtoClient.signOut('http://localhost:3000');
};

const button = document.createElement('button');
button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

document.body.appendChild(button);

.signOut() を呼び出すと、存在する場合、メモリと localStorage 内のすべての Logto データがクリアされます。

認証 (Authentication) ステータスの処理

Logto SDK では、一般的に logtoClient.isAuthenticated を使用して認証 (Authentication) ステータスを確認できます。ユーザーがサインインしている場合、この値は true になり、そうでない場合は false になります。

バニラ JS アプリでは、isAuthenticated ステータスを使用して、サインインおよびサインアウトボタンをプログラムで表示および非表示にすることができます。どのように行うか見てみましょう。

const redirectUrl = 'http://localhost:3000/callback';
const baseUrl = 'http://localhost:3000';

// サインインおよびサインアウトボタンの条件付きレンダリング
const render = async (logtoClient) => {
  const isAuthenticated = await logtoClient.isAuthenticated();
  const container = document.querySelector('#container');

  const onClickSignIn = () => logtoClient.signIn(redirectUrl);
  const onClickSignOut = () => logtoClient.signOut(baseUrl);

  const button = document.createElement('button');
  button.innerHTML = isAuthenticated ? 'Sign Out' : 'Sign In';
  button.addEventListener('click', isAuthenticated ? onClickSignOut : onClickSignIn);

  container.append(button);
};

チェックポイント: アプリケーションをテストする

これで、アプリケーションをテストできます：

1. アプリケーションを実行すると、サインインボタンが表示されます。
2. サインインボタンをクリックすると、SDK がサインインプロセスを初期化し、Logto のサインインページにリダイレクトされます。
3. サインインすると、アプリケーションに戻り、サインアウトボタンが表示されます。
4. サインアウトボタンをクリックして、トークンストレージをクリアし、サインアウトします。

Google コネクターを追加する

迅速なサインインを可能にし、ユーザーのコンバージョンを向上させるために、アイデンティティプロバイダー (IdP) として Vanilla JS を接続します。Logto ソーシャルコネクターは、いくつかのパラメーター入力を許可することで、この接続を数分で確立するのに役立ちます。

ソーシャルコネクターを追加するには、次の手順に従ってください：

1. Console > Connectors > Social Connectors に移動します。
2. 「ソーシャルコネクターを追加」をクリックし、「Google」を選択します。
3. README ガイドに従い、必要なフィールドを完了し、設定をカスタマイズします。

注記:

インプレースコネクターガイドに従っている場合は、次のセクションをスキップできます。

Google OAuth app を設定する

Google API Console でプロジェクトを設定する

• Google API Console にアクセスし、Google アカウントでサインインします。
• 上部メニューバーの プロジェクトを選択 ボタンをクリックし、新しいプロジェクト ボタンをクリックしてプロジェクトを作成します。
• 新しく作成したプロジェクトで、API とサービス をクリックして API とサービス メニューに入ります。

同意画面を設定する

アプリケーションを設定して登録する

• 左側の API とサービス メニューで、OAuth 同意画面 ボタンをクリックします。
• 希望する ユーザータイプ を選択し、作成 ボタンをクリックします。（注：ユーザータイプ として 外部 を選択した場合、後でテストユーザーを追加する必要があります。）

これで アプリ登録の編集 ページに移動します。

アプリ登録の編集

OAuth 同意画面の設定

• 指示に従って OAuth 同意画面 フォームに記入します。
• 保存して続行 をクリックして続行します。

スコープの設定

• スコープを追加または削除 をクリックし、ポップアップドロワーで ../auth/userinfo.email、../auth/userinfo.profile、openid を選択し、更新 をクリックして完了します。使用する可能性のあるすべてのスコープを追加することをお勧めします。そうしないと、設定で追加した一部のスコープが機能しない場合があります。
• 必要に応じてフォームに記入します。
• 保存して続行 をクリックして続行します。

テストユーザーの追加（外部ユーザータイプのみ）

• ユーザーを追加 をクリックし、テストユーザーを追加して、これらのユーザーがテスト中にアプリケーションにアクセスできるようにします。
• 保存して続行 をクリックして続行します。

これで Google OAuth 2.0 同意画面が設定されました。

OAuth 2.0 資格情報を取得する

• 左側の API とサービス メニューで、資格情報 ボタンをクリックします。
• 資格情報 ページで、上部メニューバーの + 資格情報を作成 ボタンをクリックし、OAuth クライアント ID を選択します。
• OAuth クライアント ID の作成 ページで、アプリケーションタイプとして ウェブアプリケーション を選択します。
• アプリケーションの基本情報を記入します。
• + URI を追加 をクリックして、承認済み JavaScript オリジン セクションに承認済みドメインを追加します。これは、Logto 認可ページが提供されるドメインです。私たちの場合、これは ${your_logto_origin} になります。例：https://logto.dev。
• 承認済みリダイレクト URI セクションで + URI を追加 をクリックして、承認済みリダイレクト URI を設定します。これは、ログイン後にユーザーをアプリケーションにリダイレクトするものです。私たちの場合、これは ${your_logto_endpoint}/callback/${connector_id} になります。例：https://logto.dev/callback/${connector_id}。connector_id は Logto 管理コンソールのコネクター詳細ページの上部バーに表示されます。
• 作成 をクリックして完了し、クライアント ID と クライアントシークレット を取得します。

コネクターを設定する

前のセクションで説明した OAuth アプリの詳細ページから取得した クライアント ID と クライアントシークレット を clientId と clientSecret フィールドに記入します。

scope はスペースで区切られた スコープ のリストです。指定しない場合、スコープはデフォルトで openid profile email になります。

prompts は、必要なユーザーインタラクションのタイプを指定する文字列の配列です。文字列は次のいずれかの値を取ることができます：

• none: 認可サーバーは認証またはユーザー同意画面を表示しません。ユーザーが既に認証されておらず、要求されたスコープに対する事前設定された同意がない場合、エラーを返します。既存の認証および / または同意を確認するために none を使用できます。
• consent: 認可サーバーは、クライアントに情報を返す前にユーザーに同意を求めます。
• select_account: 認可サーバーは、ユーザーにユーザーアカウントを選択するよう促します。これにより、認可サーバーに複数のアカウントを持つユーザーが、現在セッションを持っている複数のアカウントから選択できるようになります。

設定タイプ

名前	タイプ
clientId	string
clientSecret	string
scope	string
prompts	string[]

Google One Tap を有効にする

Google One Tap は、ユーザーが Google アカウントであなたのウェブサイトやアプリにサインインするための安全で簡単な方法です。

Google コネクターを設定すると、コネクター詳細ページに Google One Tap のカードが表示されます。スイッチを切り替えることで、サインアップおよびサインインページで Google One Tap を有効にできます。

Google One Tap を有効にすると、次のオプションを設定できます：

• 可能であれば資格情報を自動選択： 特定の条件が満たされた場合、Google アカウントでユーザーを自動的にサインインします。
• ユーザーが外側をクリック / タップした場合にプロンプトをキャンセル：ユーザーがプロンプトの外側をクリックまたはタップした場合に Google One Tap プロンプトを閉じます。無効にすると、ユーザーはプロンプトを閉じるために閉じるボタンをクリックする必要があります。
• ITP ブラウザでのアップグレードされた One Tap UX を有効にする：インテリジェントトラッキング防止 (ITP) ブラウザでアップグレードされた Google One Tap ユーザーエクスペリエンスを有効にします。詳細については、このページ を参照してください。

注記:

あなたのウェブサイトで Google One Tap を有効にするには（Logto サインイン体験を超えて）、この機能は開発中です。更新をお待ちください。

設定を保存する

Logto コネクター設定エリアで必要な値をすべて記入したことを確認してください。「保存して完了」または「変更を保存」をクリックすると、Google コネクターが利用可能になります。

サインイン体験で Google コネクターを有効にする

ソーシャルコネクターを正常に作成すると、サインイン体験で「Google で続行」ボタンとして有効にすることができます。

1. コンソール > サインイン体験 > サインアップとサインイン に移動します。
2. （オプション）ソーシャルログインのみが必要な場合は、サインアップ識別子に「該当なし」を選択します。
3. 設定済みの Google コネクターを「ソーシャルサインイン」セクションに追加します。

テストと検証

Vanilla JS アプリに戻ります。これで Google を使用してサインインできるはずです。お楽しみください！

さらなる読み物

エンドユーザーフロー：Logto は、MFA やエンタープライズシングルサインオン (SSO) を含む即時使用可能な認証 (Authentication) フローを提供し、アカウント設定、セキュリティ検証、マルチテナント体験の柔軟な実装のための強力な API を備えています。

認可 (Authorization)：認可 (Authorization) は、ユーザーが認証 (Authentication) された後に行えるアクションやアクセスできるリソースを定義します。ネイティブおよびシングルページアプリケーションの API を保護し、ロールベースのアクセス制御 (RBAC) を実装する方法を探ります。

組織 (Organizations)：特にマルチテナント SaaS や B2B アプリで効果的な組織機能は、テナントの作成、メンバー管理、組織レベルの RBAC、およびジャストインタイムプロビジョニングを可能にします。

顧客 IAM シリーズ：顧客（または消費者）アイデンティティとアクセス管理に関する連続ブログ投稿で、101 から高度なトピックまでを網羅しています。