Auth0のデータベース接続でパスワードポリシーを設定する

データベース接続にパスワードポリシーを適用して、パスワードの使い回し、よく使われるパスワード、個人情報を含むパスワード、複雑さが不十分なパスワードを禁止します。

​

利用可能なパスワードポリシー

Auth0 data store またはカスタムデータベース接続を使用している場合は、次のパスワードポリシーを適用できます。

Policy	Description
Password History	ユーザーは直近で使用したパスワードを再利用できません。このポリシーが有効な間、Auth0 は最大 24 件分のパスワード履歴を保持します。
Password dictionary	ユーザーは、10,000 件の一般的なパスワードを含むデフォルトの辞書リストに含まれるパスワードや、追加で禁止したパスワードを使用できません (大文字と小文字は区別されません) 。
Block Personal Data	ユーザーは、name、username、nickname、user_metadata.name、user_metadata.first、user_metadata.last の値、またはメールアドレスの最初の部分 (@ より前) を含むパスワードを使用できません。
パスワード強度	ユーザーは、選択した複雑さの要件を満たさないパスワードを使用できません。OWASP のパスワード推奨事項に対応した 5 つのレベルから選択できます。

これらのオプションは Auth0 Dashboard で設定するか、Management API を使用して設定できます。

​

Auth0 Dashboard でパスワードポリシーを適用する

ソーシャル接続およびエンタープライズ接続のパスワードポリシーは、Auth0 のデータベース接続のパスワードポリシーではなく、各プロバイダーによって適用されます。

Auth0 Dashboard でパスワードポリシーを有効または無効にするには、次の手順に従います。

1. Auth0 Dashboard > Authentication > Database に移動し、編集する接続名を選択します。

2. Authentication Methods タブを選択します。次に、Password セクションで Configure を選択して Password パネルを開きます。

3. Security セクションを選択して展開し、変更するポリシーを更新します。

   • Password History ボックスをオンまたはオフにします。Password History Size フィールドで、ユーザーが再利用できない過去のパスワード数を指定します。

   • Password dictionary ボックスをオンまたはオフにします。Additional dictionary entries テキストフィールドで、追加で禁止するパスワードを 1 行に 1 つずつ指定します。

   • Block Personal Data ボックスをオンまたはオフにします。

4. Composition セクションを選択して展開し、Strength スライダーで複雑さのレベルを選択します。

   • None: 空でないパスワードが必要です。
   • Low: 指定した文字数以上の長さが必要です。
   • Fair: 上記に加えて、小文字、大文字、数字が必要です。
   • Good: さらに、小文字、大文字、数字、特殊文字 (!@#$%^&*) のうち少なくとも 3 種類が必要です。
   • Excellent: 上記に加えて、同じ文字を 3 文字以上連続して使用できません。

5. Save をクリックします。

​

Management API でパスワードポリシーを適用する

Management API を使用すると、データベース接続を作成または更新する際に、パスワードポリシーを設定できます。詳細については、次のエンドポイントを参照してください。

• Create a connection endpoint
• Update a connection endpoint.

データベース接続の現在のパスワードポリシーは、Get a connection endpoint から返される options オブジェクトで確認できます。