Activer le contrôle d’accès basé sur les rôles pour les API

Découvrez comment activer le contrôle d’accès basé sur les rôles (RBAC) pour une API à l’aide de l’Auth0 Dashboard ou de la Management API.

Vous pouvez activer le contrôle d’accès basé sur les rôles (RBAC) à l’aide de l’Auth0 Dashboard ou de la Management API. Cela active l’ensemble de fonctionnalités Authorization Core de l’API.

Lorsque RBAC est activé, la claim scope du jeton d’accès contient l’intersection entre les permissions demandées et les permissions attribuées à l’utilisateur, que des permissions soient ou non également incluses dans le jeton d’accès. Lorsque RBAC est désactivé, une application peut demander n’importe quelle permission définie pour l’API, et la claim scope contient toutes les permissions demandées.

Si vous configurez des Actions qui modifient les scopes du jeton d’accès, elles remplaceront les scopes définis par RBAC.

​

Dashboard

1. Allez à Dashboard > Applications > APIs, puis cliquez sur le nom de l’API à afficher.

   

2. Faites défiler jusqu’à RBAC Settings et activez la bascule Enable RBAC.

   

3. Pour inclure toutes les permissions attribuées à l’utilisateur dans la claim permissions du jeton d’accès, activez la bascule Add Permissions in the Access Token, puis cliquez sur Save. L’inclusion des permissions dans le jeton d’accès vous permet de réduire au minimum le nombre de requêtes nécessaires pour récupérer les permissions, mais augmente la taille du jeton. Une fois la bascule Add Permissions in the Access Token activée, Auth0 met également à jour votre dialecte de jeton en fonction du profil de jeton d’accès que vous avez défini pour l’API :

   • Si votre dialecte de jeton est access_token, Auth0 le met à jour vers access_token_authz, ce qui équivaut au profil access_token avec la claim permissions incluse.
   • Si votre dialecte de jeton est rfc9068_profile, Auth0 le met à jour vers rfc9068_profile_authz, ce qui équivaut à rfc9068_profile avec la claim permissions incluse.

   Pour en savoir plus sur les dialectes de jeton disponibles, consultez Options de dialecte de jeton.

​

Management API

Pour activer le RBAC à l’aide de la Management API, envoyez une requête PATCH au point de terminaison « Mettre à jour un serveur de ressources ». Dans la requête PATCH, définissez enforce_policies à true :

Remplacez API_ID, MGMT_API_ACCESS_TOKEN et TOKEN_DIALECT par leurs valeurs respectives, comme indiqué dans le tableau suivant :

Paramètre	Description
API_ID	ID de l’API pour laquelle vous souhaitez activer RBAC.
MGMT_API_ACCESS_TOKEN	Jeton d’accès pour la Management API avec le scope update:resource_servers.
TOKEN_DIALECT	Dialecte du jeton d’accès pour l’API indiquée. Pour en savoir plus, consultez Options de dialecte de jeton.

​

Options de dialecte de jeton

Auth0 prend en charge les dialectes de jeton suivants :

Valeur	Description
access_token	Le profil de jeton par défaut d’Auth0 génère un jeton d’accès sous la forme d’un JSON Web Token (JWT). Dans la claim scope du jeton d’accès, il inclut l’intersection des permissions demandées et des permissions attribuées à l’utilisateur. Aucune claim permissions n’est transmise. Pour en savoir plus, consultez Profils de jetons d’accès.
access_token_authz	Le profil de jeton par défaut d’Auth0 (access_token) avec la claim permissions. Dans la claim scope du jeton d’accès, il inclut l’intersection des permissions demandées et des permissions attribuées à l’utilisateur. Dans la claim permissions du jeton d’accès, il inclut toutes les permissions attribuées à l’utilisateur. Ce profil permet de réduire au minimum les requêtes nécessaires pour récupérer les permissions, mais augmente la taille du jeton.
rfc9068_profile	Le profil de jeton RFC 9068 génère un jeton d’accès sous la forme d’un JWT conformément au profil JWT de l’IETF pour les jetons d’accès OAuth 2.0 (RFC 9068). Dans la claim scope du jeton d’accès, il inclut l’intersection des permissions demandées et des permissions attribuées à l’utilisateur. Aucune claim permissions n’est transmise. Pour en savoir plus, consultez Profils de jetons d’accès.
rfc9068_profile_authz	Le profil de jeton RFC 9068 (rfc9068_profile) avec la claim permissions. Dans la claim scope du jeton d’accès, il inclut l’intersection des permissions demandées et des permissions attribuées à l’utilisateur. Dans la claim permissions du jeton d’accès, il inclut toutes les permissions attribuées à l’utilisateur. Ce profil permet de réduire au minimum les requêtes nécessaires pour récupérer les permissions, mais augmente la taille du jeton.

​

En savoir plus

• Gérer les utilisateurs du contrôle d’accès basé sur les rôles
• Gérer les autorisations du contrôle d’accès basé sur les rôles
• Exemples de cas d’utilisation : contrôle d’accès basé sur les rôles