Skip to main content
パスキーは、FIDO2 (WebAuthn および CTAP) 標準に基づく、安全なパスワードレス認証方法です。従来の識別子/パスワードによる認証と比べて、いくつかの利点があります。
  • パスキーを使うと、ユーザーは生体認証やデバイスに紐づいた資格情報 (指紋、PIN、パターンなど) で認証できるため、ログインが速くなり、パスワードを覚えておく必要もありません。
  • パスキーはデバイス間で資格情報を同期できるため、ユーザーは新しいデバイスごとに再登録する必要がありません。
  • パスキーはフィッシングに強いです。公開鍵暗号方式を使用するため共有シークレットが存在せず、さらにユーザーのデバイスがアカウントごとに一意のキーを生成するからです。
  • パスキーは、より確実な復旧をサポートします。保存された資格情報は、利用を開始した元のデバイスを失っても引き続き使えるためです。
  • パスキーは資格情報を特定のドメインに結び付けるため、ユーザーは 1 つのパスキーでドメイン全体にわたって認証できます。
パスキーの詳細については、FIDO Alliance のパスキーの概要をお読みください。

​
Auth0 のパスキーについて

Auth0 では、アプリケーションの種類に応じて、データベース接続の認証方法としてパスキーを次の 3 つの方法で実装できます。 Auth0 では、ユーザー 1 人あたり最大 20 個のパスキーまで使用できます。 データベース接続でパスキーを有効にすると、サインアップ時とログイン時にユーザーがパスキーを利用できるようになります。
1

サインアップ UI で、ユーザーにメールアドレスの入力を求めます。

ユーザーはメールアドレスを入力し、続行 を選択します。
2

サインアップ UI で、ユーザーにパスキーの使用を求めます。

ユーザーは パスキーを作成 を選択します。
3

ユーザーの資格情報マネージャーが、パスキーの作成を求めます。

ユーザーが 続行 を選択すると、デバイスの資格情報で認証するよう求められます。

デバイスの資格情報による認証プロンプトの例

ユーザーが 別の方法を試す を選択すると、パスキーを作成したいデバイスで QR コードをスキャンするよう求められます。

QR コードの例

1

ログイン UI で、ユーザーにメールアドレスの入力やパスキーの使用を求めます。

データベース接続のパスキーポリシーでは、ログイン UI で自動入力を許可するか、パスキーボタンを表示するか、またはその両方を有効にするかを選択できます。
ユーザーがメールアドレスを入力すると、自動入力によって、パスワードなどのほかの資格情報とあわせて保存済みのパスキーが候補として表示されます。ユーザーが パスキーで続行 ボタンを選択すると、資格情報マネージャーで使用するパスキーを選ぶよう求められます。
2

ユーザーの資格情報マネージャーが、デバイスの資格情報による認証を求めます。

デバイスの資格情報による認証プロンプトの例

パスキーは、ユーザーの既存の資格情報を置き換えたり無効にしたりするものではありません。ユーザーがパスキーを作成すると、認証方法としてそのアカウントに追加されますが、既存のメールアドレス／ユーザー名とパスワードによる資格情報も引き続き有効です。

​
MFA が有効な場合のパスキー

が有効になっている場合、設定とリスク評価に応じて、ユーザーはパスキーで認証した後に MFA チャレンジの完了を求められることがあります。 デフォルトの動作では、使用した認証方法がパスワードでもパスキーでも、MFA チャレンジを完了する必要があります。パスキーは高いセキュリティを提供するため、ユーザーの負担を減らす目的で、パスキーで認証したユーザーについては MFA をスキップできます。これは post-login Action を使用して実現できます。 詳しくは、Reduce friction with passkeys および Multi-Factor Authentication を参照してください。

​
パスキーと複数のカスタムドメイン (MCD)

テナントで複数のカスタムドメインが有効になっている場合、Auth0 はドメインとそのドメインのパスキーを 1 対 1 で対応付けます。パスキーが有効なデータベース接続を使用するユーザーは、作成されたドメインに紐付いたパスキーを使ってサインアップやログインを行えます。ユーザーがパスキーを登録できるのは 1 つのドメインに対してのみです (テナント上の複数のカスタムドメインのうち、最初に登録したドメイン) 。 パスワードレスログインでは、選択したカスタムドメインがパスワードレスログインフローのマジックリンクに反映されている必要があります。

​
パスキーの Relying Party ID

relying party identifier (RP ID) は、WebAuthn がパスキーなどの資格情報に関連付けるドメインです。RP ID は、認証に使用できるリクエスト元を定義します。
RP ID が正しく機能するには、アプリケーションのドメインを、アプリケーション設定 の Allowed Origins (CORS) リストに追加する必要があります。
RP ID をオリジンのサフィックスとして定義すると、ユーザーは 1 つのパスキーでサブドメインをまたいで認証できます。たとえば、Web アプリケーションが login.example.com で提供され、ネイティブアプリケーションが app.example.com で提供されている場合、RP ID を example.com に設定すれば、エンドユーザーは 1 つのパスキーで両方のアプリケーション (および example.com の他のサブドメイン) を認証できます。 Auth0 では、RP ID をルートドメインまたは親ドメインに設定できるため、ユーザーは同じパスキーを使ってモバイルアプリケーションや Web アプリケーションで認証できます。複数のカスタムドメインを使用している場合は、各カスタムドメインに rp.id を設定することもできます。 RP ID をカスタマイズする方法については、Configure Passkey Policy を参照してください。

​
詳細情報