Configurer l’accès M2M avec les organisations Auth0

Autorisez, révoquez et auditez l’accès machine à machine aux organisations Auth0 au moyen d’associations d’autorisations de client, dans le Dashboard ou par l’intermédiaire de la Management API.

L’accès de machine à machine pour les Organizations vous permet de définir l’Auth0 Organization à laquelle une application donnée peut accéder pour chaque API au moyen du Client Credentials Flow.

​

Autoriser l’accès M2M

Pour autoriser l’accès machine à machine d’une application, vous devez lui permettre d’utiliser une Organization avec une API donnée. Pour ce faire, associez l’autorisation de client de l’application à l’API correspondante et à l’Organization. Une fois cette association établie, l’application peut utiliser l’Organization lorsqu’elle demande des jetons pour l’API et les scopes définis dans l’autorisation de client. Définissez cette association pour chaque API à laquelle l’application doit accéder au sein de l’Organization.

Ce flux est pris en charge pour les applications tierces. Les applications tierces ne peuvent pas utiliser allow_any_organization; vous devez donc autoriser explicitement chaque Organization en suivant les étapes ci-dessous.

Vous pouvez autoriser l’accès M2M d’une application au moyen de l’Auth0 Dashboard ou de la Management API.

Auth0 Dashboard

Pour associer l’autorisation de client d’une application à une Organization au moyen de l’Auth0 Dashboard :

1. Accédez à Organizations, puis sélectionnez l’Organization à associer.
2. Sélectionnez l’onglet Machine-to-Machine Access.
3. Sélectionnez Add Access.
4. Sélectionnez l’application à associer à l’Organization.
5. Sélectionnez une API.
6. Sélectionnez Save.

Management API

Associez les autorisations de client d’une application à une Organization au moyen du point de terminaison Associate client grant to organization :

​

Révoquer l’accès M2M

Pour révoquer l’accès M2M ou retirer à votre application l’accès à une Organization, vous devez supprimer l’association entre ses autorisations de client et l’Organization. Une fois cette association supprimée, l’application n’est plus autorisée à utiliser l’Organization lorsqu’elle demande de nouveaux jetons pour l’API définie dans l’autorisation de client. La révocation de l’accès M2M fonctionne de la même manière pour les applications tierces.

La révocation de l’accès M2M n’a aucune incidence sur les applications qui ont obtenu l’accès à une Organization. Pour en savoir plus, consultez Définir le comportement de l’Organization.

Auth0 Dashboard

Pour supprimer, dans l’Auth0 Dashboard, l’association entre l’autorisation de client d’une application et une Organization :

1. Accédez à Organizations et choisissez l’Organization dont vous souhaitez supprimer l’association.
2. Sélectionnez l’onglet Accès machine à machine.
3. Choisissez une application.
4. Décochez la case à côté des API que vous souhaitez dissocier de l’Organization.
5. Sélectionnez Enregistrer.

Management API

Supprimez l’association entre l’autorisation de client d’une application et une Organization au moyen du point de terminaison Dissocier les autorisations de client des organizations :

curl -X DELETE --location "https://{yourDomain}/api/v2/organizations/{ORG_id}/client-grants/{GRANT_ID}" \
  --header 'authorization: Bearer MGMT_API_ACCESS_TOKEN' ;

​

Auditer l’accès M2M

L’accès machine à machine aux Organizations peut être accordé en associant directement une autorisation de client à une Organization ou en autorisant l’accès à n’importe quelle Organization dans les paramètres de l’autorisation de client. Ces deux scénarios peuvent être audités dans le Auth0 Dashboard ou au moyen de la Management API, où vous pouvez consulter ou récupérer la liste des autorisations de client associées à une Organization pour une application. Pour en savoir plus sur le fonctionnement des permissions d’accès M2M aux Organizations, consultez Configurer votre application pour l’accès M2M et Autoriser l’accès M2M. L’audit fonctionne de la même façon pour les applications tierces.

​

Accès accordé par association directe

Utilisez l’Auth0 Dashboard et la Management API pour auditer l’accès M2M des autorisations de client directement associées à une Organization.

Auth0 Dashboard

Pour afficher dans l’Auth0 Dashboard les autorisations de client d’application autorisées pour une Organization donnée :

1. Accédez à Organizations et sélectionnez l’Organization à examiner.
2. Sélectionnez l’onglet Machine-to-Machine Access. Une liste paginée de toutes les applications pouvant accéder à une API pour cette Organization par association directe s’affiche.
3. Sélectionnez une application pour examiner les API autorisées qui y sont répertoriées.

Management API

Récupérez les autorisations de client associées à une Organization au moyen du point de terminaison d’API Organization Client Grants :

Vous pouvez également utiliser le query parameter q du point de terminaison d’API Get Clients, avec le terme de recherche client_grant.organization_id:{organization_id}, pour récupérer de l’information sur les applications pouvant accéder à au moins une des API d’une Organization. Utilisez la syntaxe Lucene, semblable à la User Search Query Syntax.

​

Accès accordé à toute organisation

Utilisez l’Auth0 Dashboard et la Management API pour auditer l’accès M2M des applications ayant accès à toute Organization.

Cette section ne s’applique pas aux applications tierces. Les applications tierces ne peuvent pas utiliser allow_any_organization et n’apparaîtront pas dans cette requête d’audit. Utilisez plutôt les requêtes d’association directe ci-dessus.

Auth0 Dashboard

1. Accédez à Organizations.
2. Sélectionnez l’onglet Machine-to-Machine Access. Une liste paginée de toutes les applications pouvant accéder à au moins une des API d’une Organization s’affiche.
3. Choisissez une application pour consulter la liste des API autorisées pour celle-ci.

Management API

Récupérez les autorisations de client avec le paramètre allow_any_organization au moyen du point de terminaison d’API Get Client Grants :

Vous pouvez également utiliser le query parameter q du point de terminaison d’API Get Client Grants, avec le terme de recherche client_grant.allow_any_organization:true, pour récupérer des renseignements sur les applications pouvant accéder à au moins une des API de toute Organization. Utilisez la syntaxe Lucene, semblable à la User Search Query Syntax.

​

Rechercher des applications selon l’accès de l’organisation

Les résultats de recherche sont éventuellement cohérents.

Le tableau suivant présente les termes de recherche pris en charge pour rechercher des applications à l’aide du paramètre q au point de terminaison /clients :

Champ	Description
client_grant.organization_id:{organization_id}	Permet de rechercher les applications qui peuvent accéder à au moins une des API d’une organisation.
client_grant.allow_any_organization:true	Permet de rechercher les applications qui peuvent accéder à au moins une des API de n’importe quelle organisation.

​

Journaux du locataire

L’accès machine à machine pour les organisations est également consigné dans les journaux du locataire. Vous pouvez consulter l’organization associée à la requête dans le journal du locataire seccft correspondant.

L’exemple de code suivant présente un journal du locataire seccft contenant des renseignements sur l’organisation :

{
  "date": "2024-10-24T19:06:17.460Z",
  "type": "seccft",
  "description": "Client Credentials for Access Token",
  "connection_id": "",
  "client_id": "qoQKtXuhdSibs1jUeXk3mmCwXoAafGnO",
  "client_name": "jwt.io (Test Application)",
  "ip": "130.41.219.72",
  "user_agent": "Other 0.0.0 / Other 0.0.0",
  "hostname": "david-test.test-aws-abundant-lobster-6004.auth0c.com",
  "user_id": "",
  "user_name": "",
  "organization_id": "org_mPdwToiiHHOtz0SH",
  "organization_name": "cc_test",
  "audience": "https://jwt.io.com",
  "scope": "read:data",
  "$event_schema": {
    "version": "1.0.0"
  },
  "log_id": "90020241024190617517817000000000000001223372036854775862",
  "tenant_name": "david-test",
  "_id": "90020241024190617517817000000000000001223372036854775862",
  "isMobile": false,
  "id": "90020241024190617517817000000000000001223372036854775862"
}