Configurer la liaison à l’émetteur

Aperçu de la configuration de la liaison à l’émetteur pour votre tenant Auth0.

L’association des jetons à l’émetteur au moyen de Demonstrating Proof-of-Possession (DPoP) est actuellement en accès anticipé. Pour demander l’accès à cette fonctionnalité, communiquez avec votre représentant Auth0.

liaison à l’émetteur est un mécanisme de sécurité OAuth 2.0 et OpenID Connect (OIDC) qui associe de façon cryptographique les jetons d’accès et les jetons d’actualisation à l’application cliente précise qui les a obtenus, empêchant ainsi le vol et l’utilisation abusive de jetons.

Auth0 prend en charge l’association à l’émetteur par mTLS et Demonstrating Proof-of-Possession (DPoP). Si vous activez la liaison à l’émetteur pour une application cliente, vous devez aussi l’imposer pour le serveur de ressources auquel vous faites des appels d’API.

Pour configurer la liaison à l’émetteur dans Auth0, vous devez :

• Configurer la liaison à l’émetteur pour une application cliente.
• Configurer la liaison à l’émetteur pour un serveur de ressources.

Fonctionnement

Les jetons d’accès sont soumis à une contrainte d’émetteur dans Auth0 selon la façon dont vous configurez la liaison à l’émetteur pour votre application cliente et votre serveur de ressources :

1. Audience demandée : Dans une demande de jeton, le fait que l’audience demandée soit uniquement /userinfo, qu’elle soit destinée à être utilisée seulement avec le point de terminaison /userinfo, ou qu’il s’agisse d’une API personnalisée pouvant inclure /userinfo lorsque vous demandez aussi la portée openid, a une incidence sur le fait que les jetons d’accès soient soumis à une contrainte d’émetteur.

2. Application cliente : Le fait que vous définissiez la liaison à l’émetteur sur required pour l’application cliente.

3. Serveur de ressources : Le fait que vous configuriez la liaison à l’émetteur pour le serveur de ressources :

   1. none : Vous n’avez pas configuré la liaison à l’émetteur pour le serveur de ressources.
   2. allowed : Vous avez configuré la liaison à l’émetteur pour le serveur de ressources en définissant une méthode de liaison à l’émetteur.
   3. required : Vous avez configuré la liaison à l’émetteur comme obligatoire pour le serveur de ressources, ce qui signifie que les jetons d’accès doivent être soumis à une contrainte d’émetteur pour une application. Nécessite une méthode de liaison à l’émetteur.

• Proof-of-Possession : Le fait que l’application cliente ait envoyé une assertion de preuve de possession dans la demande de jeton :

  • mTLS liaison à l’émetteur : La preuve de possession est démontrée par la présentation réussie, par le client, d’une clé privée précise (associée à un certificat client) pendant la négociation TLS.
  • DPoP : La preuve de possession est établie lorsque le client crée un DPoP Proof JWT en le signant de manière cryptographique avec sa clé privée et en incluant le DPoP Proof JWT DPoP dans l’en-tête HTTP DPoP de chaque requête où le jeton d’accès associé est utilisé.

Le tableau suivant décrit comment les jetons d’accès sont émis et s’ils sont soumis à une contrainte d’émetteur selon divers paramètres de demande du client et les configurations du serveur de ressources Auth0 :

Type d’audience demandée	Le client exige PoP ?	Proof-of-Possession (PoP) envoyée par le client ?	Politique du serveur de ressources Auth0 : None	Politique du serveur de ressources Auth0 : Allowed (Not Required)	Politique du serveur de ressources Auth0 : Required
Userinfo seulement	Non	Non	Émis, sans contrainte d’émetteur	S/O	S/O
Userinfo seulement	Non	Oui	Émis, soumis à une contrainte d’émetteur	S/O	S/O
Userinfo seulement	Oui	Non	Non émis	S/O	S/O
Userinfo seulement	Oui	Oui	Émis, soumis à une contrainte d’émetteur	S/O	S/O
Audience personnalisée (peut contenir Userinfo)	Non	Non	Émis, sans contrainte d’émetteur	Émis, sans contrainte d’émetteur	Non émis
Audience personnalisée (peut contenir Userinfo)	Non	Oui	Émis, sans contrainte d’émetteur	Émis, soumis à une contrainte d’émetteur	Émis, soumis à une contrainte d’émetteur
Audience personnalisée (peut contenir Userinfo)	Oui	Non	Non émis	Non émis	Non émis
Audience personnalisée (peut contenir Userinfo)	Oui	Oui	Non émis	Émis, soumis à une contrainte d’émetteur	Émis, soumis à une contrainte d’émetteur

Configurer la liaison à l’émetteur pour une application cliente

Lorsque vous exigez la liaison à l’émetteur pour une application cliente, les jetons d’accès sont liés à cette application. Auth0 vérifie les requêtes pour s’assurer que seule l’application qui a demandé le jeton peut l’utiliser pour accéder à la ressource associée.

Une fois l’application cliente configurée pour exiger la liaison à l’émetteur, vous pouvez définir la méthode de liaison à l’émetteur, soit mTLS ou DPoP, lors de la configuration de votre serveur de ressources.

Vous pouvez configurer la liaison à l’émetteur pour une application cliente à l’aide du Auth0 Dashboard ou de la Management API.

Auth0 Dashboard

1. Accédez à Dashboard > Applications > Applications. Sélectionnez l’application que vous voulez configurer.
2. Sous Settings, faites défiler jusqu’à Token Sender-Constraining.
3. Activez la bascule Require Sender Constraining. Désactivez-la pour supprimer l’exigence de la liaison à l’émetteur pour l’application.

Management API

Pour configurer la liaison à l’émetteur pour un client, utilisez la Management API.

Pour exiger la liaison à l’émetteur pour un client, envoyez une requête PATCH pour mettre à jour les paramètres du client. Définissez le paramètre require_proof_of_possession sur true.

"require_proof_of_possession": true

Pour supprimer l’exigence de la liaison à l’émetteur, définissez le paramètre require_proof_of_possession sur false.

"require_proof_of_possession": false

Configurer la liaison à l’émetteur pour un serveur de ressources

Les jetons d’accès émis par Auth0 peuvent être liés à l’émetteur (c.-à-d. l’application cliente) qui doit accéder aux API d’un serveur de ressources.

Vous pouvez configurer la liaison à l’émetteur pour un serveur de ressources dans Auth0 Dashboard ou avec la Management API.

Auth0 Dashboard

Pour activer Token Binding ou la liaison à l’émetteur, configurez les API Settings de votre API.

1. Accédez à Auth0 Dashboard > Applications > APIs.

2. Sélectionnez l’API que vous souhaitez configurer.

3. Sous l’onglet Settings, repérez la section Token Sender-Constraining.

4. Configurez les éléments suivants :

   1. Méthode de liaison à l’émetteur :

      1. None: N’activez aucune méthode de liaison à l’émetteur pour votre serveur de ressources.
      2. mTLS: Activez mTLS comme méthode de liaison à l’émetteur pour votre serveur de ressources.
      3. DPoP: Activez DPoP comme méthode de liaison à l’émetteur pour votre serveur de ressources.

B. Activez la bascule Require Token Sender Constraining. Tous les jetons d’accès émis à une application pour cette API seront liés à cette application.

Management API

Pour activer la liaison à l’émetteur avec la Management API, envoyez une requête PATCH pour mettre à jour le serveur de ressources. Définissez les paramètres de l’objet proof_of_possession comme suit :

Paramètre	Description
mechanism	Définit la méthode de liaison à l’émetteur : none, mtls ou dpop.
required	Lorsque cette valeur est définie sur true, tous les jetons d’accès émis à une application pour cette API seront liés à cette application. Lorsqu’elle est définie sur false, la liaison à l’émetteur n’est pas requise pour l’application.

L’exemple de code suivant montre un corps de requête qui configure un serveur de ressources pour la liaison à l’émetteur mTLS :

"proof_of_possession": {
    "mechanism": "mtls",
    "required": true
  }