パスワードレス API の使用

Auth0 API を使用したパスワードレス認証の実装方法を説明します。

パスワードレス API は、次の 2 つのシナリオで使用できます。

• Universal Login を実装し、Auth0 と連携するために auth0.js を使ってログインページをカスタマイズしたい場合。
• アプリケーションにログインフローを埋め込みたい場合。

さまざまなシナリオで Universal Login 向けのパスワードレスや埋め込みログインを実装する方法について詳しくは、Universal Login を使用したパスワードレス認証 または 埋め込みログインを使用したパスワードレス認証 を参照してください。

​

パスワードレス エンドポイント

​

POST /passwordless/start

アプリケーションの設定にある Advanced Settings > Grant Types で、Auth0 Dashboard > アプリケーション > アプリケーション から Passwordless OTP グラントを有効にする必要があります。

POST /passwordless/start エンドポイントを呼び出すと、クラシックログインと埋め込みログインの両方でパスワードレス認証プロセスを開始できます。

エンドポイントに指定するパラメーターに応じて、Auth0 は次のいずれかを送信してユーザー検証プロセスを開始します。

• メールまたは SMS による使い捨てコード
• メールによる使い捨てリンク

API 呼び出しは次の構造に従う必要があります。

マジックリンクを使用する場合、ユーザーには Authentication API によって生成されたリンクが送信されます。ユーザーがそのリンクをクリックすると、{yourAuth0Tenant}.auth0.com/passwordless/verify-redirect への呼び出しがトリガーされます。Auth0 はユーザーをアプリケーションにリダイレクトし、ユーザーはログインされます。

コードを使用する場合、アプリケーションはそのコードの入力を求める必要があります。その後、そのコードを認証トークンと交換するために、/oauth/token エンドポイントまたは auth0.js SDK の passwordlessLogin メソッドを使用します。

​

POST /oauth/token

ネイティブアプリケーションまたは従来型Webアプリケーションにパスワードレスを実装する場合、OTPコードを認証トークンに交換するために /oauth/token を使用する必要があります。このエンドポイントはシングルページアプリケーションからは使用できません。

これを行うには、まず Auth0 Dashboard > アプリケーション > アプリケーション のアプリケーションの 設定 にある Advanced Settings > Grant Types で、Passwordless OTP グラントを有効にする必要があります。

ユーザーはOTPコードを受け取り、ネイティブアプリケーションまたは Web アプリケーションでその入力を求められます。ユーザーがコードを入力したら、以下のパラメーターを指定して /oauth/token エンドポイントを呼び出すことで、認証フローを完了できます。

問題なく進めば、Auth0 は次のようなレスポンスを返します。

HTTP/1.1 200 OK
Content-Type: application/json
{
"access_token":"eyJz93a...k4laUWw",
"refresh_token":"GEbRxBN...edjnXbL",
"id_token":"eyJ0XAi...4faeEoQ",
"token_type":"Bearer",
"expires_in":86400
}

その後、ID トークンをデコードしてユーザーに関する情報を取得するか、アクセストークンを使って通常どおり API を呼び出せます。

​

Auth0.js の使用

シングルページアプリケーションや、カスタマイズした Universal Login ページでパスワードレス認証を実装する場合は、Auth0.js とその passwordlessLogin メソッドを使用してください。実装は複雑なため、API を直接呼び出すのではなく、ライブラリを使用することをお勧めします。

​

パスワードレスのエンドポイントにおけるレート制限

Auth0 のレート制限と 攻撃対策 機能は、API 呼び出しを行っているマシンの IP のみを考慮します。API 呼び出しがバックエンドサーバーから行われる場合、通常は Auth0 にサーバーではなくエンドユーザーの IP を考慮させたいはずです。

Auth0 では、API 呼び出しで auth0-forwarded-for ヘッダーを指定できますが、これが考慮されるのは次の場合に限られます。

• API 呼び出しが機密アプリケーションに対して行われる場合。
• API 呼び出しに クライアントシークレット が含まれている場合。
• Trust トークンエンドポイント IP Header トグルがオンになっている場合。

詳しくは、リソース所有者パスワードフローと攻撃対策でよくある問題を回避する をご覧ください。

​

MFA をカスタマイズする

MFA は、パスワードレス API を使用してカスタマイズできます。アプリケーションがアクセストークンをリクエストするために /oauth/token エンドポイントを呼び出すと、認可サーバー は mfa_required エラーを返します。このエラーには次が含まれます。

• 登録とチャレンジのために MFA API を呼び出す際に必要な mfa_token。

• mfa_requirements パラメーター。チャレンジでアプリケーションがサポートする認証要素の type を示します。

{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
    ]
  }
}

mfa_token を使用して mfa/authenticator エンドポイントを呼び出し、ユーザーが登録済みの認証要素をすべて一覧取得したうえで、アプリケーションがサポートする type と一致するものを特定します。チャレンジを発行するには、一致する authenticator_type も取得する必要があります:

[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]

request/mfa/challenge エンドポイントを呼び出して、MFA チャレンジを必須にします。

Auth0 Actions を使用すると、MFA フローをさらにカスタマイズできます。詳しくは、Actions トリガー: post-challenge - API オブジェクト をお読みください。