マシンアカウントとユーザアカウントのAPIアクセスを識別する必要性および方法を考える

[hrk091]

dkをJWT/access_tokenで利用できるように変更を進めているが、利用形態としてマシンアカウントとユーザアカウントの2種類がある。
マシンアカウントはbroadcastからtrackやvideo情報をCRUDするのに使われており、dk-uiからのアクセスとは使用するエンドポイントやロジックがことなる。
また、backend実装の簡略化のためにuserinfo情報をcustom claimとしてaccess_tokenに付与する作戦をとっているが、マシンアカウントはuserinfo情報がないので、custom claimが空欄となっている。

現時点では問題がないが、将来以下のケースで困りそうなので、方針を整理したい。

• ユーザアカウント・マシンアカウントの両方が叩くエンドポイントにおいて、userinfoを必要とする処理を実装したい場合に、マシンアカウントの方だけ条件分岐しなければならない（それで問題ないという話もある）
• ユーザアカウント・マシンアカウントで実行する処理を変えたい場合に、種別を識別する方法がuserinfoを持っているか否かしかないが、それでよいか
• ユーザアカウント・マシンアカウントで認可endpointを変えたい場合に、どう実装するか（現状だとbroadcastが叩くAPIをユーザのJWTで叩くことができてしまう）