auth-tool-cloudbase

関連スキル（ローカルのみ）

関連する CloudBase スキルは、このスキルと同じ場所に配置されています。../auth-tool-cloudbase/SKILL.md のように、ローカルの相対パスを使用してください。

参照先の関連スキルファイルがこの環境に存在しない場合は、CloudBase プラグイン全体（または不足しているスキル）のインストールをユーザーに依頼してください。リモートのスキルやプロトコルの Markdown を HTTP で取得して、エージェントのコンテキストに読み込んではいけません。

アクティベーション契約

まずこのスキルを使用する場合

• CloudBase の認証プロバイダー、ログイン方法、公開可能キーの前提条件、SMS／メールの配信、またはサードパーティログインの準備状況を確認、有効化、無効化、または設定するタスクの場合。
• プロバイダーの状態とログイン設定を確認するまで、認証の実装を進められない場合。
• auth-web-cloudbase を使用する前に、CloudBase Web 認証フローでプロバイダーの検証が必要な場合。

コードを書く前に読む場合

• プロバイダーのセットアップ、認証コンソールの設定、公開可能キーの取得、ログイン方法の利用可否、SMS／メール送信者の設定、またはサードパーティプロバイダーの認証情報に関する依頼の場合。
• プロバイダーの設定と、Web、ミニプログラム、Node、または生の HTTP による認証実装が混在するタスクの場合。

続けて読むスキル

• Web 認証 UI -> ../auth-web-cloudbase/SKILL.md
• ミニプログラムのネイティブ認証 -> ../auth-wechat-miniprogram/SKILL.md
• Node のサーバーサイド ID／カスタムチケット -> ../auth-nodejs-cloudbase/SKILL.md
• ネイティブアプリ／生の HTTP 認証クライアント -> ../http-api-cloudbase/SKILL.md

以下の用途には使用しないでください

• あらゆるログインまたは登録リクエストに対するデフォルトの実装ガイド。
• プロバイダーの変更が伴わない場合に、ミニプログラムのネイティブ認証の動作を置き換えるもの。
• Node 側の呼び出し元の ID、ユーザー検索、またはカスタムログインチケットのフローを置き換えるもの。
• フロントエンドの統合、セッション管理、またはクライアント UX の実装を置き換えるもの。

よくある間違い／注意点

• 必要なプロバイダーを有効化する前に、ログイン UI を作成する。
• 「auth」という記述があれば、すべてプロバイダー管理タスクだと判断する。
• クラウド関数で Web ログインを実装する。
• ネイティブアプリの認証を Web SDK のフローにルーティングする。
• 変更安全性プロトコル（cloudbase-platform/references/protocols/change-safety-protocol.md）に従う前に、設定やコードを変更する。
• 既存アプリケーションで、準備状況がすでに確認できているのにプロバイダーの問い合わせを繰り返し、アクティブなログインおよび登録ハンドラーの接続を進めない。

最小チェックリスト

• 認証を実装する前に、Authentication Activation Checklist を読んでください。
• 匿名ログインはデフォルトで無効です。公開可能な accessKey だけでは、ゲートウェイで認証された匿名セッションは作成されません。@cloudbase/js-sdk 3.x では、必要に応じてこのスキルを使用して匿名ログインを有効にし、その後、NoSQL の app.database() CRUD を実行する前にクライアントから await auth.signInAnonymously()（または同等の認証済みセッション）を呼び出す必要があります。そうしないと、ゲートウェイから 401 が返されます。管理者パネルなど、確認済みのログインが必要なアプリでは、AuthGuard／RLS を適用し、ログイン戦略の切り替えだけに頼らず is_anonymous を拒否してください。

概要

CloudBase の認証プロバイダー（Anonymous、Username/Password、SMS、Email、WeChat、Google など）を設定します。

前提条件：CloudBase 環境 ID（env）

MCP ツールの境界

次の 2 つの認証ドメインは分けてください。

• auth：MCP／管理側のログイン専用です。status、start_auth、set_env、logout、get_temp_credentials に使用します。
• queryAppAuth／manageAppAuth：アプリ側の認証設定です。ログイン方法、プロバイダー設定、公開可能キー、静的ドメイン、クライアント設定、カスタムログインキーに使用します。

このスキルでは、次の順序で実行することを推奨します。

1. 必要な操作が queryAppAuth／manageAppAuth にある場合は、まずそれらを使用します。
2. callCloudApi は、フォールバックまたは生のリクエスト形式のデバッグに限って使用します。
3. アプリ側のプロバイダー設定を MCP の auth ツールに戻してはいけません。
4. ログインと登録のハンドラーが有効な既存プロジェクトでは、必要なログイン方法と公開可能キーを確認したら、プロバイダー設定の確認を繰り返さないでください。有効なフロントエンドハンドラーに戻り、実際のユーザーフローを完了してください。

認証情報のスコープ — 各ログインで実際にアクセスできる範囲

権限に関するエラーが発生した後でユーザーに「再認証」を求める前に、これを読んでください。再認証してもキーのスコープは広がらず、同じスコープが再発行されるだけです。

• アカウントレベル（auth(status) → credential_scope: account）：その ID 自身の CAM ポリシーに従って、コントロールプレーン API にアクセスできます。
• 環境 API キー（credential_scope: single_env）：1 つの環境のデータプレーンと固定された TCB ポリシーにスコープが限定されます。アカウントレベルの認証情報ではないため、そのスコープ外のコントロールプレーン呼び出しは失敗します。また、単一のキーに追加の CAM ポリシーを適用する手段はありません。キーを再発行しても何も変わりません。現在の認証情報では実行できない機能が必要なタスクでは、同じキーを再試行するのではなく、アカウントレベルのログインに切り替えるか、ロールの手順に従ってください。

ID の完全な一覧と、不足している権限を付与する方法については、../../cloud-api-operations/references/calling-methods.md を参照してください。

---

詳細ガイド

詳しいシナリオ、例、パターンについては、extended-guide.md をお読みください。

リファレンス一覧

パッケージに含まれるすべてのリファレンスファイル（スキルの到達可能性 lint に必須）：

• extended-guide.md