Skip to main content
Auth0 protège les secrets et les données de votre tenant à l’aide d’une Auth0 Environment Root Key, au sommet de la hiérarchie de clés du chiffrement par enveloppe. L’Auth0 Environment Root Key et la Customer Provided Root Key sont stockées dans le Hardware Security Module (HSM) du fournisseur de services infonuagiques Auth0 correspondant, AWS ou Azure.

​
Bring Your Own Key

Avec Bring Your Own Key, les utilisateurs ayant le Key Management Editor role peuvent utiliser l’Auth0 Management API pour remplacer l’Auth0 Environment Root Key par défaut par leur propre Customer Provided Root Key. Les clients peuvent téléverser en toute sécurité leur propre Root Key, qui contient leur propre matériel cryptographique, afin de :
  • Répondre à des exigences particulières en matière de génération de clés et de provenance pour l’Environment Root Key
  • Répondre à des exigences particulières concernant l’installation ou la durée de vie de la clé pour l’Environment Root Key
  • Conserver une copie de la Customer Provided Root Key dans leurs locaux.
En important votre propre Customer Provided Root Key avec Bring Your Own Key, vous retirez implicitement à Auth0 l’autorisation de gérer le cycle de vie de la Customer Provided Root Key, à l’exception de sa suppression.
Vous pouvez créer et gérer votre Customer Provided Root Key à l’aide de la , en suivant les étapes ci-dessous :
  1. Effectuez une requête vers le point de terminaison Créer la nouvelle clé de chiffrement pour lancer le processus Bring Your Own Key et obtenir le kid (identifiant de clé) de la Customer Provided Root Key préactivée sans matériel cryptographique.
    Ce point de terminaison renvoie la valeur kid, qui est l’identifiant unique de la clé.
  2. Effectuez une requête vers le point de terminaison Créer la clé d’enveloppement publique pour créer et renvoyer une clé d’enveloppement publique.
  3. Dans votre environnement, générez votre propre matériel de clé cryptographique et enveloppez-le (chiffrez-le) avec la clé d’enveloppement publique afin de créer une Wrapped Encryption Key (la Customer Provided Root Key).
  4. Effectuez une requête vers le point de terminaison Importer la clé de chiffrement pour importer votre Customer Provided Root Key dans Auth0.

​
Exigences relatives au matériel cryptographique

Utilisez votre système de gestion des clés pour envelopper votre propre matériel cryptographique avec la clé publique d’enveloppement et créer la clé de chiffrement enveloppée. Utilisez les paramètres suivants pour l’algorithme CKM_RSA_AES_KEY_WRAP, selon votre fournisseur de services infonuagiques Auth0 (AWS ou Azure) :

​
Auth0 on AWS cloud

  • Longueur de la clé d’enveloppement publique : 3072 bits
  • Algorithme : CKG_MGF1_SHA256
  • Longueur de la clé AES temporaire pour CKM_AES_KEY_WRAP_PAD : 256 bits
  • Type de Customer Provided Root Key : clé symétrique AES de 256 bits

​
Auth0 on Azure cloud

  • Longueur de la clé d’enveloppement publique : 2048 bits
  • Algorithme : CKG_MGF1_SHA-1
  • Longueur de la clé AES temporaire pour CKM_AES_KEY_WRAP_PAD : 256 bits
  • Type de Customer Provided Root Key : clé privée RSA de 2048 bits
  • Encodage de la clé privée : PKCS #8 - ASN.1 DER

​
Permissions

Utilisez les permissions suivantes pour accorder l’accès aux endpoints des clés de chiffrement.

​
Points de terminaison

  • Utilisez le point de terminaison Get all encryption keys pour obtenir des renseignements sur l’Environment Root Key actuelle ou la Customer Provided Root Key existante, ainsi que sur la Tenant Master Key.
  • Utilisez le point de terminaison Get the encryption key by its key id pour obtenir des renseignements sur la clé indiquée.
  • Utilisez le point de terminaison Créer la nouvelle clé de chiffrement pour créer un espace réservé préactivé pour une Customer Provided Root Key.
  • Utilisez le point de terminaison Créer la clé d’enveloppement publique pour obtenir une clé d’enveloppement publique afin d’envelopper votre matériel cryptographique.
  • Utilisez le point de terminaison Importer la clé de chiffrement pour importer le matériel d’une nouvelle Customer Provided Root Key.
  • Utilisez le point de terminaison Delete the encryption key by its key id pour supprimer une Customer Provided Root Key existante et cesser d’utiliser Bring Your Own Keys. L’Auth0 Environment Root Key est utilisée pour rechiffrer la hiérarchie de clés. Cette opération n’a pas d’incidence négative sur les données existantes ni sur les flux d’authentification.
Si la fonctionnalité Customer Managed Keys n’est pas activée pour votre tenant, les requêtes vers le ou les points de terminaison d’API renverront l’erreur suivante : This feature is not enabled for this tenant.