認証
ユーザー管理
カスタマイズ
プラットフォームUniversal Login の特長と機能
カスタマイズ
- Page Templates を使用して、ログインフロー内のすべてのページに Liquid テンプレートを指定できます。
- の ノーコードエディター または の Branding エンドポイントを使用して、色、フォント、カスタムロゴ URL などのページのブランディングをカスタマイズできます。
- Auth0 Management API の Branding エンドポイントを使用して、favicon の URL を設定できます。
- Auth0 Dashboard または Management API を使用して、ページのテキストをカスタマイズできます。詳しくは、Customize Universal Login Text Elements を参照してください。
- Auth0 Management API を使用して、サインアップとログインのプロンプトをカスタマイズできます。詳しくは、Customize Signup and Login prompts を参照してください。
ログイン
- デバイスの生体認証を使用する WebAuthn による Passwordless を利用できます。
-
ソーシャルプロバイダーで開発キーを使用している場合:
- シングルサインオン (SSO) とサイレント認証は正常に動作します。これは Classic Login エクスペリエンスではサポートされていません。
- ログインページには、テナントが開発キーで設定されていることを示す警告が表示されます。
- ソーシャル接続およびエンタープライズ接続ごとにボタンが表示されます。
-
ユーザーを
/loginページに直接リダイレクトすると、デフォルトのログインルートを設定していない限りエラーになります。詳しくは、デフォルトのログインルートを構成するを参照してください。ユーザーは常に適切な認可リクエストのエンドポイント (たとえば、 Connect を使用している場合は/authorize) にリダイレクトする必要があります。 -
Auth0 へのリダイレクト時に
login_hintを指定すると、この情報を使ってログインページまたはサインアップページのユーザー名／メールアドレス欄に自動入力できます。 - データベース接続 では、認証方法としてパスキーを利用できます。パスキーは、従来の認証要素 (ユーザー名／パスワードなど) に代わるフィッシング耐性のある手段で、より簡単かつ安全なログイン体験をユーザーに提供します。詳しくは、Passkeysを参照してください。
- Google ソーシャル接続を使用している場合は、Google One Tapを有効にすると、Universal Login ページを離れることなく、アクティブな Google セッションを使ってワンタップでログインまたはサインアップできます。
サインアップ
/authorizeへのリダイレクト時にscreen_hint=signupパラメーターを指定すると、ユーザーをログインページではなくサインアップページに直接遷移させることができます。このパラメーターはprompt=loginと組み合わせることもでき、既存のセッションがある場合でも常に認証ページを表示するのか、ページをスキップするのかを指定できます。
多要素認証
- ユーザーが複数の 要素を登録している場合 (例: SMS やプッシュ通知) 、Universal Login の MFA ページで、使用する方法をユーザー自身が選択できます。
- MFA 要素として音声通話またはメールを使用できます。詳しくは、Configure SMS and Voice Notifications for MFA と MFA Factors を参照してください。
- プッシュ通知を処理する独自のネイティブアプリケーションを Guardian SDK で作成している場合は、Dashboard > Security > Multi-Factor Auth セクションの Push via Auth0 Guardian オプションで、アプリケーション名とダウンロード用 URL を設定できます。
- MFA プロバイダーを
google-authenticatorに設定するルールがある場合は、Dashboard > Security > Multi-Factor Auth セクションでその OTP 要素を有効にする必要があります。 - MFA には WebAuthn を使用できます。
- Actions を使用すると、特定の要素または複数の要素を組み合わせてユーザーに認証を求めるように、MFA フローをカスタマイズできます。また、ロールや Organization メンバーシップなどのユーザーメタデータを活用して、より個別化された体験を作成することもできます。詳しくは、Customize MFA Selection in Universal Login を参照してください。
パスワードのリセット
- Universal Login では、成功するとユーザーはデフォルトのログインルートにリダイレクトされ、エラー処理は Universal Login フロー内で行われます。メールテンプレート内の Redirect URL は無視されます。リダイレクト URL を機能させるには、Dashboard > Applications > Applications の Settings タブで Application Login URI を指定する必要があることに注意してください。
- データベース接続が Require Username に設定されている場合、パスワードリセットフローではユーザーにユーザー名の入力を求め、関連付けられたメールアドレスにパスワードリセットメールを送信します。詳しくは、Adding Username for Database Connections を参照してください。
-
Actions を使用すると、パスワードリセットフロー に追加のチャレンジを組み込めます。具体的には、
post-challengeトリガーを使うことで、ユーザーが最初のステップ (通常はパスワードリセットメール内のリンク) を完了した後、新しいパスワードを作成する前に、追加のチャレンジを提示できます。このトリガーを使うと、ユーザーをサードパーティの検証サービスなどの外部サイトにリダイレクトしたり、追加の MFA 要素によるチャレンジを求めたりできます。ユーザーがパスワードを更新するには、この 2 回目のチャレンジを完了する必要があります。- 注: パスワードリセットフロー中にユーザーに表示される MFA プロンプトはカスタマイズできます。詳しくは、Customize Universal Login Text Prompts. を参照してください。
カスタムデータベース接続
change passwordスクリプトがエラーを返しても、パスワードリセットフローは正常に機能します。ValidationErrorsまたはWrongUsernameOrPasswordErrorで返されたエラーは、該当するページに表示されます。詳しくは、カスタムデータベースのトラブルシューティングを参照してください。
メール認証
パスワードのオートコンプリート
autocomplete は "new-password" に設定されています。これにより、パスワードマネージャーは安全でランダムなパスワードを生成するようユーザーに促します。パスワードをパスワードマネージャーに保存するには、ユーザーの明示的な同意が必要です。
ログインページでは、autocomplete は "current-password" に設定されています。ブラウザーのパスワードマネージャーに保存されていれば、ログインページで自動的にパスワードが入力されます。
パスワードのオートコンプリートを無効にしても、セキュリティが向上するわけではない点に注意してください。
- パスワードをブラウザーのパスワードマネージャーに保存するには、ユーザーが明示的に許可する必要があります
- いったんパスワードマネージャーに保存されると、そのコンピューターにアクセスできる人であれば、ログイン画面でパスワードが自動入力されるかどうかにかかわらず、パスワードマネージャーを開いてパスワードを確認できます。ユーザーがブラウザーにログインしている場合は、保存済みパスワードを表示する前にパスワードの入力を求められます。ログインしていない場合は、誰でも表示できます。
- Safari の場合、パスワードが自動入力される前に、Mac のパスワードを入力するか Touch ID を使うよう求められます。