User Attribute Profile

User Attribute Profile (UAP) は、SCIM、SAML、OIDC などのプロトコル間でユーザー属性を定義、管理、マッピングするための一貫した仕組みを提供します。Self-Service Enterprise Configuration に対応した UAP を使用すると、管理者はユーザー属性を定義し、そのプロファイルを認証プロトコル全体に適用することで、ユーザーのアイデンティティデータをより的確に制御できます。

仕組み

プロファイル定義 管理者は User Attribute Profile を作成し、次のような属性を定義します。
- 属性の表示方法
- 属性を必須にする方法
- 属性を Auth0 や外部のアイデンティティシステムにどのようにマッピングするか
柔軟な適用範囲 プロファイルは Self-Service Enterprise Configuration フローに関連付けられていますが、プロビジョニング、オンボーディング、権限管理に対応できるよう設計されています。
統合マッピングレイヤー 各属性は認証プロトコル全体にわたるマッピングに対応しており、Okta や Entra ID などの特定のプロバイダーや接続戦略向けに値を上書きすることもできます。

属性マッピングとオーバーライド

UAP は、プロバイダー固有の要件に対応するため、複数のプロトコルに対応した属性定義と認証ストラテジーのオーバーライドをサポートしています。 属性マッピング

Protocol	Description
Auth0 Mapping	Auth0 に保存される標準属性 (`email`、`name`、`app_metadata.department`) 。
OIDC Mapping	標準の OIDC クレーム (`sub`、`preferred_username`、`zoneinfo`) 。OIDC の標準クレームの詳細は、Standard Claimsを参照してください。
SAML Mapping	1 つ以上のアサーション URI をサポートします (`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`) 。
SCIM Mapping	プロビジョニング属性 (`name.familyName`、`addresses[type eq "work"].country`) 。

認証ストラテジーのオーバーライド 一部のプロバイダーでは、標準外のマッピングが使用されます。UAP ではオーバーライドを設定できます。

Protocol	Description
SAML	`externalId` の代わりに userName をマッピングします。
WAAD (Entra ID)	OIDC の識別子として `oid` を使用します。
Okta	Okta 固有のクレームを使って、`middleNam`e や `federated_groups` などの属性をマッピングします。

User ID

user_id プロパティは、OIDC クレーム、SAML 属性、または SCIM 属性を Auth0 の User ID にどのようにマッピングするかを定義します。Auth0 のすべてのユーザーには ID が必要なため、このマッピングは必須です。

OIDC の場合、選択肢は固定されています (通常は sub、Azure AD では oid、Google では email) 。
- SAML と SCIM の場合は、マッピングの自由度が高く、複数の属性候補を指定できます。

ユーザー属性

user_attributes プロパティには、システムが IdP から受信したクレームを解釈し、それらを Auth0 ユーザープロファイルの属性として保存するためのマッピング情報が含まれます。各属性はキーと値のペアで指定する必要があります。

キーは属性名に対応します。
- 値は以下を含むオブジェクトです。
  - label
  - description
  - profile_required
  - auth0_mapping
  - saml_mapping
  - scim_mapping
  - oidc_mapping は、次のプロパティを持つオブジェクトです
    - mapping は IdP から受信するクレームを表します (固定値、動的な context object、またはその両方。${variable} 構文を使用し、context object をサポートします)
    - display_name はセルフサービスフローでエンドユーザーに表示されるラベルです

認証ストラテジーのオーバーライド

strategy_overrides プロパティを使用すると、個々のアイデンティティプロバイダー (IdP) ごとに例外を指定できます。すべての IdP が同じ識別子やクレームを提供するわけではないためです。各オーバーライドでは、user_id または user_attributes で定義されたデフォルトを置き換える、プロトコル固有のマッピングを定義します。

例

ユーザー識別子

"user_id": {
  "oidc_mapping": "sub",
  "saml_mapping": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  ],
  "scim_mapping": "externalId",
  "strategy_overrides": {
    "waad": {
      "oidc_mapping": "oid"
    },
    "samlp": {
      "scim_mapping": "userName"
    },
    "google-apps": {
      "oidc_mapping": "email"
    }
  }
},

デフォルトの識別子: SCIM 経由の externalId。
SAML: 複数の識別子 URI に対応。
OIDC: sub を使用。
上書き設定: SAML と WAAD ではマッピングをカスタマイズできます。

メールアドレス属性

"email": {
  "description": "Email",
  "label": "Email",
  "profile_required": true,
  "auth0_mapping": "email",
  "scim_mapping": "emails[primary eq true].value",
  "oidc_mapping": {
    "mapping": "${context.tokenset.email}",
    "display_name": "email"
  },
  "saml_mapping": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"
  ],
  "strategy_overrides": {
    "waad": {
      "scim_mapping": "emails[type eq \"work\"].value"
    }
  }
}

ほとんどのプロファイルで推奨されます。
Auth0、OIDC、SAML、SCIM 間で統一されています。
WAAD の上書きにより、勤務先メールへの正しいマッピングが確保されます。