# App Store Connect APIキー（.p8）の作成と使い方

> App Store Connect APIキー（.p8）のダウンロードは一度だけです。ロール、Issuer ID、Key ID、無効化、Expo・fastlane・スクリプトでの使い方を解説します。

元のページ：[App Store Connect APIキー（.p8）の作成と使い方](https://devoria.fr/ja/blog/app-store-connect-api-key-p8)
著者：[Mehdi Azizi](https://devoria.fr/ja/mehdi-azizi)
公開日：2026-11-04
内容の最終更新：2026-11-04


App Store Connect APIキーを使うと、EAS、fastlane、RevenueCat、自作スクリプトなどのツールが、パスワードも2ファクタ認証もなしにあなたのアカウントを操作できます。**公開鍵はAppleが保管し、秘密鍵である`.p8`ファイルはあなたが一度だけダウンロードします。** このファイルとIssuer ID、Key IDを使って、ほとんどのリクエストで最大20分有効なトークンに署名します。

僕はTradaZenやNoleraなどのiOSアプリをExpoで公開しています。App Managerロールのチームキーを1つ作り、RevenueCat、Expoのビルド、ストアページを編集するコマンドラインツールで使っています。このガイドは、2026年11月3日に読み直したApple、Expo、fastlaneのページに基づいています。アプリのコードに埋め込むサービスのキーとは別物なので注意してください。そちらは[Expoアプリの秘密APIキー](https://devoria.fr/ja/blog/expo-secret-api-key-what-to-protect)で扱っています。

## App Store Connect APIキーでできること

[Appleのドキュメント](https://developer.apple.com/documentation/appstoreconnectapi/creating-api-keys-for-app-store-connect-api)によると、App Store Connect APIはリクエストごとにJWTトークンを必要とします。トークンは秘密鍵で生成・署名します。このキーはこのAPI専用で、Appleの他のサービスには使えません。

メリットは一言で言えます。**接続を承認する人が不要になることです。** Apple IDでのログインは2ファクタ認証で止まるので、自動化ができません。Expoアプリの提出で何が変わるかは、[EAS Submit iOS](https://devoria.fr/ja/blog/eas-submit-ios-app-store)のガイドで紹介しています。

## 最初に：APIへのアクセスを申請する

最初のキーはすぐには作れません。[App Store Connectヘルプ](https://developer.apple.com/help/app-store-connect/get-started/app-store-connect-api)にはっきり書かれています。**まずAccount HolderがAPIへのアクセスを申請する必要があります。** Users and Accessを開き、Integrationsをクリックし、Request Accessをクリックします。Appleは申請を個別に審査します。

Account Holderは、アカウントを登録した人です。初心者ならあなた自身です。登録の詳細は[Appleデベロッパーアカウント](https://devoria.fr/ja/blog/apple-developer-account-price)のガイドにあります。

## チームキーか個人キーか

Appleには2種類のキーがあります。[ドキュメント](https://developer.apple.com/documentation/appstoreconnectapi/creating-api-keys-for-app-store-connect-api)と[App Store Connectヘルプ](https://developer.apple.com/help/app-store-connect/get-started/app-store-connect-api)から違いをまとめました。

| 項目                   | チームキー                | 個人キー               |
| ---------------------- | ------------------------- | ---------------------- |
| 生成できる人           | Account HolderまたはAdmin | ほぼすべてのユーザー   |
| アクセスできるアプリ   | 例外なくすべて            | そのユーザーのアプリ   |
| 権限                   | 選んだロール              | そのユーザーの権限     |
| キーの数               | 複数                      | 1人につき有効なもの1つ |
| 証明書とプロファイル   | 可（ロールによる）        | 不可                   |
| 売上、財務、notaryTool | ロールによる              | 不可                   |
| トークンのフィールド   | `iss` = Issuer ID         | `sub` = `user`         |

Appleによると「ほぼすべてのユーザー」とは、Account Holder、Admin、App Manager、Customer Support、Developer、Marketingのことです。ただし、AdminまたはAccount Holderが個人キーの生成権限を外した場合は除きます。

**Expoやfastlaneで使うなら、チームキーを選んでください。** 個人キーは、証明書やプロファイルを作成するプロビジョニング系のエンドポイントにアクセスできません。[fastlaneのドキュメント](https://docs.fastlane.tools/app-store-connect-api/)でも、プロビジョニング関連のアクセスにはチームキーが必要だと確認できます。

## キーに付けるロール

チームキーは、ロールに関係なくアカウントのすべてのアプリにアクセスできます。何ができるかはロールで決まります。**AppleはAdminキーがユーザーの作成・削除までできると警告しています。** 用途をカバーする最小のロールを付けましょう。以下の権限は[Appleのロール一覧](https://developer.apple.com/help/account/access/roles/)によるものです。

| キーの用途                           | 可能なロール                  |
| ------------------------------------ | ----------------------------- |
| ビルドのアップロード                 | Admin, App Manager, Developer |
| TestFlightビルドの管理               | Admin, App Manager            |
| 証明書とプロファイルの作成           | Admin, App Manager            |
| アプリの審査提出                     | Admin, App Manager            |
| 商品と価格のインポート（RevenueCat） | 最低でもApp Manager           |
| 他のチームキーの生成                 | Admin                         |

RevenueCatの行は[同社のドキュメント](https://www.revenuecat.com/docs/service-credentials/itunesconnect-app-specific-shared-secret/app-store-connect-api-key-configuration)によるものです。一方、Expoのガイドはキーに[Adminロールを付けています](https://github.com/expo/fyi/blob/main/creating-asc-api-key.md)。僕のアプリではApp Managerロールで十分です。EASはこれで配布用プロファイルを作成し、RevenueCatは商品をインポートしています。

キーを生成した後は、[名前もロールも変更できません](https://developer.apple.com/help/app-store-connect/get-started/app-store-connect-api)。変えたい場合は、無効化して新しく生成する必要があります。

## チームキーの作り方（ステップごと）

AdminまたはAccount Holderのアカウントが必要です。[Apple](https://developer.apple.com/documentation/appstoreconnectapi/creating-api-keys-for-app-store-connect-api)の手順は次のとおりです。

1. **Users and Accessを開き**、Integrationsタブを選びます。
2. **左の列でApp Store Connect APIを選び**、Team Keysタブを開きます。
3. **Generate API Keyをクリック**します（または+ボタン）。
4. **キーに名前を付けます。** 名前は自分用で、キーの一部ではありません。使うツールの名前にしておきましょう。
5. **Accessでロールを選び**、Generateをクリックします。
6. **Download API Keyのリンクで秘密鍵をダウンロード**します。

> ファイルをダウンロードするとリンクはすぐに消え、Appleはコピーを一切保管しません。ページを閉じる前に`.p8`を保管してください。

次に2つのIDを控えます。[トークンに関するAppleのページ](https://developer.apple.com/documentation/appstoreconnectapi/generating-tokens-for-api-requests)によると、**Issuer IDはIntegrationsページの上部に**Copyボタンと一緒に表示されます。Key IDは有効なキーの一覧にあり、マウスを乗せるとCopy Key IDが出ます。Issuer IDはアカウントのすべてのチームキーで共通です。Key IDはキーごとに異なります。

個人キーはもっと簡単です。自分のユーザープロフィールを開き、Individual API Keyまでスクロールして、Generate API Keyをクリックします。こちらもダウンロードは一度きりです。

## .p8ファイルの保管

Appleはキーをパスワードと同じように扱うよう求めています。**共有しない、コードリポジトリに置かない、アプリのコードに絶対に組み込まない。** 僕のやり方はこうです。

- **プロジェクト外のフォルダ**、またはCIツールのシークレット管理に置く。
- **キーのフォルダを`.gitignore`に入れる**（提出の間だけファイルをプロジェクト内に置く場合）。
- **権限を厳しくする。** App Store Connect用のあるコマンドラインツールは、`.p8`が他のアカウントから読める状態だと受け付けませんでした。`chmod 600`で解決しました。
- **ツールごとに1つのキー。** Appleでは好きなロールで[複数のキーを生成できます](https://developer.apple.com/documentation/appstoreconnectapi/creating-api-keys-for-app-store-connect-api)。

最後の点は、最初は守っていませんでした。僕のApp Managerキーは、RevenueCat、ビルド、ストアページ用ツールのすべてで使われています。無効化すれば3つのツールが同時に止まります。**やり直せるなら、ツールごとにキーを作ります。** そうすれば他に影響を与えず1つだけ止められます。

## Expoで使う

EASにキーを渡す方法は3つです。

- **EASに管理を任せる。** `eas credentials --platform ios`でキーを作成し、Expoのサーバーに保管できます。一番簡単な方法です。
- **`eas.json`に書く。** `submit`プロファイルは`ascApiKeyPath`、`ascApiKeyIssuerId`、`ascApiKeyId`を受け付けます。[eas.jsonのリファレンス](https://docs.expo.dev/eas/json/)によると、これらのフィールドには`$ASC_API_KEY_PATH`のような環境変数も使えます。
- **環境変数で渡す。** [EAS CLIのリポジトリ](https://github.com/expo/eas-cli/blob/main/packages/eas-cli/README.md)には`EXPO_ASC_API_KEY_PATH`、`EXPO_ASC_KEY_ID`、`EXPO_ASC_ISSUER_ID`が記載されています。個人キーの場合はIssuer IDを省きます。

ビルドで知っておくべき制限があります。[Expoによると](https://docs.expo.dev/build-reference/ios-capabilities/)、公式APIではApp Group、Merchant ID、CloudKitコンテナを関連付けられません。その場合はローカルでApple IDによるログインが必要です。僕はNoleraのウィジェットのApp Groupでこれを経験しました。キーでCapabilityは有効になりましたが、グループは関連付けられませんでした。関連付けはAppleのデベロッパーポータルで行いました。**Capabilityの同期で詰まったら、`EXPO_NO_CAPABILITY_SYNC=1`で無効化できます。** その場合はApp IDでCapabilityを自分で有効にします。ビルドの署名については[iOSの証明書とプロビジョニングプロファイル](https://devoria.fr/ja/blog/ios-certificate-provisioning-profile-expo)で詳しく説明しています。

## fastlaneで使う

[fastlane](https://docs.fastlane.tools/app-store-connect-api/)はJSONファイルからキーを読み込みます。`key_id`、`issuer_id`、`key`（`.p8`の中身）は必須です。`duration`と`in_house`は任意です。ダミーの値で示します。

```json
{
  "key_id": "XXXXXXXXXX",
  "issuer_id": "your-issuer-id",
  "key": "-----BEGIN PRIVATE KEY-----\nMIGT...\n-----END PRIVATE KEY-----",
  "duration": 1200,
  "in_house": false
}
```

このファイルをアクションに渡します。たとえば`fastlane pilot distribute --api_key_path fastlane/cle.json`です。Fastfileでは、`app_store_connect_api_key`アクションが`key_id`、`issuer_id`、`key_filepath`を受け取ります。セッションの長さは最大1,200秒、つまり20分です。すべてのアクションが対応しているわけではありません。たとえば`produce`と`pem`はAPIキーでは動かないとfastlaneは明記しています。

## 自作スクリプトで使う

ツールなしなら、トークンを自分で作ります。[Appleが手順を定めています](https://developer.apple.com/documentation/appstoreconnectapi/generating-tokens-for-api-requests)。

- **ヘッダー**：`alg`は`ES256`、`kid`はKey ID、`typ`は`JWT`。
- **ペイロード（チームキー）**：`iss`はIssuer ID、`iat`は作成時刻、`exp`は有効期限、`aud`は`appstoreconnect-v1`。
- **ペイロード（個人キー）**：`iss`の代わりに`sub`を`user`にします。
- **有効期間**：20分を超えると、ほとんどのリクエストでAppleはトークンを拒否します。

Pythonでは、PyJWTライブラリと暗号化の依存関係を使います。[ドキュメント](https://pyjwt.readthedocs.io/en/stable/installation.html)によると`pip install pyjwt[crypto]`でインストールします。Macのターミナルでは`pip install "pyjwt[crypto]"`のように引用符で囲んでください。そうしないとzshが角括弧を受け付けません。

```python
import time
import jwt

KEY_ID = "XXXXXXXXXX"
ISSUER_ID = "your-issuer-id"

with open("AuthKey_XXXXXXXXXX.p8") as f:
    private_key = f.read()

now = int(time.time())
token = jwt.encode(
    {"iss": ISSUER_ID, "iat": now, "exp": now + 20 * 60, "aud": "appstoreconnect-v1"},
    private_key,
    algorithm="ES256",
    headers={"kid": KEY_ID, "typ": "JWT"},
)
print(token)
```

あとはAppleの例と同じように、`Authorization`ヘッダーで送ります。

```bash
curl -H "Authorization: Bearer $TOKEN" "https://api.appstoreconnect.apple.com/v1/apps"
```

2026年11月3日に、自分のマシンで生成した使い捨てキーでこのスクリプトを実行しました。トークンのヘッダーとペイロードはAppleのページと一致し、ES256署名も検証できました。このテストキーはApple側に存在しないので、AppleのAPIには送っていません。**有効期間中は同じトークンを使い回しましょう。** パフォーマンスのためにAppleが推奨しています。

## キーを無効化する

紛失したとき、漏えいしたとき、ツールで使わなくなったときは、すぐにキーを無効化してください。[App Store Connectヘルプ](https://developer.apple.com/help/app-store-connect/get-started/app-store-connect-api)によると、Account HolderまたはAdminのアカウントで次のように行います。

1. Users and Accessを開き、Integrationsを選びます。
2. Team KeysまたはIndividual Keysを選び、Editをクリックします。
3. 無効化するキーにチェックを入れ、Revoke Keyをクリックします。
4. Revokeで確定します。

**無効化したキーは二度と有効に戻せません。** [Appleは](https://developer.apple.com/documentation/appstoreconnectapi/revoking-api-keys)30日間、Revokedの下に表示します。それを使っていたツールはすべて認証に失敗します。Expoでは「[App Store Connect rejected the API authentication credentials](https://github.com/expo/eas-cli/blob/main/packages/build-tools/src/steps/utils/ios/AscApiClient.ts)」というメッセージが出ます。このメッセージやその他の提出エラーは、[EASでの提出エラーと対処法](https://devoria.fr/ja/blog/eas-submit-ios-errors-fixes)で解説しています。漏えいしていないなら、古いキーを止める前に新しいキーを準備しましょう。漏えいした場合は、すぐに無効化するようAppleは求めています。

自分の個人キーの場合は、プロフィール、Individual API Key、Revokeの順です。

## 僕の.p8キーのチェックリスト

- Account HolderがAPIへのアクセスを申請した。
- ビルドやプロファイルに使うなら、チームキーにした。
- ロールは用途をカバーする最小のもので、名前で使うツールがわかる。
- `.p8`はリポジトリ外にあり、権限が厳しく、暗号化したバックアップがある。
- Issuer IDとKey IDはファイルとは別に控えてある。
- ツールごとにキーがあり、1つだけ無効化できる。

## キーを危険にさらさずに公開を自動化する

キーは全体の流れの一部にすぎません。[iOS & Android Kit](https://devoria.fr/ja/kits/ios)は、サブスクリプションを含む僕のアプリのスターターコードから始まり、App Storeまでの4ステップを自分のペースで進められます。このキーでRevenueCatを接続するなら、全体の構成は[RevenueCatとiOSのアプリ内サブスクリプション](https://devoria.fr/ja/blog/revenuecat-ios-in-app-subscription-setup)にあります。

初めてのリリースを準備中なら、[無料診断を受けてください](https://devoria.fr/ja/diagnostic)。本当に詰まっている点がわかり、Appleのリジェクト対策チェックリストもお送りします。[App Storeでアプリを公開する](https://devoria.fr/ja/expertise/publish-app-on-app-store)のページでは、ストアページから承認までの各ステップを解説しています。

## よくある質問

### App Store Connect APIキーはどうやって作りますか？

まずAccount HolderがAPIへのアクセスを申請します。次にAdminがUsers and Access、Integrationsタブ、App Store Connect API、Team Keysを開きます。Generate API Keyをクリックし、名前とロールを選んでキーを生成し、`.p8`ファイルをダウンロードします。

### 紛失した.p8キーは再ダウンロードできますか？

できません。ファイルのダウンロードは一度きりで、Appleはコピーを保管しません。紛失したキーを無効化し、新しいキーを生成して、それを使っていた各ツールを更新してください。

### Issuer IDとKey IDはどこにありますか？

App Store ConnectのUsers and Accessメニュー、Integrationsタブです。Issuer IDはページ上部に表示されます。Key IDは有効なキーの一覧にあります。個人キーはIssuer IDを使いません。

### Expoで使うキーにはどのロールを付けるべきですか？

ExpoのガイドはAdminロールを付けています。Appleのロール一覧によると、ビルドのアップロードと証明書・プロファイルの作成にはApp Managerで十分です。僕がExpoのビルドで使っているキーもこのロールです。

### APIキーのロールは変更できますか？

できません。Appleでは作成後にキーの名前もロールも変更できません。無効化して、正しいロールで新しく生成してください。

### App Store Connect APIキーに有効期限はありますか？

Appleのページにはキーの有効期限についての記載はなく、無効化についてだけ書かれています。期限があるのはキーで署名したトークンのほうで、ほとんどのリクエストでは最大20分です。


## あなたのプロジェクト

[Review Kit](https://devoria.fr/ja/kits/app-review)：私のApp Store審査チェックリスト、修正済みのAppleのリジェクト事例、Google Play用チェックリスト、Claude Codeのスキル3つ。￥8,500。

[iOS & Android Kit](https://devoria.fr/ja/kits/ios)：Claude CodeでiPhoneとAndroidのアプリを作りましょう。私のアプリのスターターコード、ストア公開までの手順、すべてのキットが揃っています。￥17,500。

[診断：あなたとiPhoneアプリの間にあるもの](https://devoria.fr/ja/diagnostic)：7つの質問、60秒。iPhoneアプリの公開を本当に妨げているもの、4ステップのロードマップ、あなたに合ったキットがわかります。