Configurer Auth0 pour réussir les OpenID FAPI Conformance Tests

Cette section contient quelques conseils pour configurer votre client si vous souhaitez tester votre solution à l’aide des OpenID FAPI Conformance Tests. Pour réussir les FAPI Conformance Tests, commencez par configurer les éléments suivants :

Définissez la propriété compliance_level selon le profil souhaité : fapi1_adv_pkj_par, fapi1_adv_mtls_par, fapi2_sp_pkj_mtls ou fapi2_sp_mtls_mtls
Configurer mTLS (y compris les alias mTLS) ou Configurer Private Key JWT
Configurer mTLS Token Binding
Configurer les Pushed Authorization Requests
Assurez-vous que la propriété oidc_conformant est définie à true pour tous les clients utilisés pour le test. Il s’agit de la valeur par défaut pour les clients créés dans l’Auth0 Dashboard.

Ensuite, suivez les instructions ci-dessous pour terminer la configuration des OpenID FAPI Conformance Tests :

S’assurer qu’Auth0 demande le consentement des utilisateurs
Configurer les claims ACR prises en charge pour le tenant
Supprimer la propriété alg du point de terminaison JWKS
Ajouter une Action pour exiger scope et redirect_uri
(Profils FAPI2 seulement) S’assurer que la claim iss est renvoyée dans les réponses

Vous devez vous assurer qu’Auth0 demande le consentement des utilisateurs. Vous pouvez ignorer cette étape si le client est configuré comme une application de première partie et que le ou l’API permet d’ignorer le consentement pour les applications de première partie. Pour vous assurer qu’Auth0 demande le consentement des utilisateurs, définissez la propriété is_first_party du client à false :

curl --location --request PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/YOUR_CLIENT_ID' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data-raw '{
  "is_first_party": false  
}'

Ensuite, passez votre connexion au niveau du domaine :

curl --location --request PATCH 'https://{YOUR_DOMAIN}/api/v2/connections/YOUR_CONNECTION_ID' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data-raw '{
  "is_domain_connection": true
}'

Configurer les claims ACR pris en charge pour le tenant

Les tests FAPI transmettent une valeur ACR requise de urn:mace:incommon:iap:silver. Pour inclure la valeur ACR requise dans le , ajoutez urn:mace:incommon:iap:silver à la liste des valeurs ACR prises en charge pour le tenant :

curl --location --request PATCH 'https://{YOUR_DOMAIN}/api/v2/tenants/settings' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data-raw '{
    "acr_values_supported": ["urn:mace:incommon:iap:silver"]
}'

Supprimer la propriété alg du point de terminaison JWKS

Pour que les clés puissent être utilisées avec plusieurs algorithmes, et pas seulement avec RS256, supprimez la propriété alg du tenant dans la réponse du point de terminaison /.well-known/jwks.json :

curl --location --request PATCH 'https://{YOUR_DOMAIN}/api/v2/tenants/settings' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data-raw '{
    "flags": {
        "remove_alg_from_jwks": true
    }
}'

Ajouter une Action pour exiger un scope et redirect_uri

Par défaut, Auth0 autorise les requêtes sans scope et suppose le scope openid si aucun scope n’est fourni. Auth0 autorise également les requêtes sans redirect_uri, que vous pouvez définir dans Actions. Toutefois, les tests de conformité FAPI exigent qu’Auth0 soit plus restrictif. Ajoutez l’Action suivante pour imposer les restrictions nécessaires sur le scope et redirect_uri :

exports.onExecutePostLogin = async (event, api) => {
  if (!event.request.body || !event.request.body.refresh_token) {
    // Exiger un scope
    if (!event.request.query.scope) {
      api.access.deny('scope must be provided in the request');
    }
    // Pour améliorer le message d'erreur si redirect_uri n'est pas présent
    if (!event.request.query.redirect_uri) {
      api.access.deny('redirect_uri must be provided in the request');
    }
  }
};

(profils FAPI2 uniquement) Assurez-vous que la claim `iss` est incluse dans les réponses

Le profil de sécurité FAPI 2.0 exige que le paramètre iss soit renvoyé dans les réponses d’autorisation conformément à la norme RFC9207. Pour des raisons de compatibilité, Auth0 ne le fait pas par défaut. Pour activer ce comportement, définissez la propriété authorization_response_iss_parameter_supported dans les paramètres du tenant à true.

curl --location --request PATCH "https://{YOUR_DOMAIN}/api/v2/tenants/settings" \
  --header "Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}" \
  --header "Content-Type: application/json" \
  --data-raw '{
    "authorization_response_iss_parameter_supported": true
  }'

Quickstarts

Aperçu d’Auth0