Authorization Extension でルールを使用する

Authorization Extension の情報をルールで使用する方法について説明します。

Auth0 では、ロールベースのアクセス制御 (RBAC) を実装する方法が 2 つ用意されており、API 独自の内部アクセス制御システムの代わりに、またはそれと組み合わせて使用できます。

• Authorization Core
• Authorization Extension

Authorization Core feature set は Authorization Extension と同等の機能を備えつつ、パフォーマンスとスケーラビリティを向上させ、Authorization Extension より柔軟な RBAC システムを提供します。

現在、どちらも RBAC の主要な機能を実装しており、API 用に定義されたカスタムスコープを、ユーザーに権限として割り当てられているものだけに制限できます。

Auth0 ルールを Authorization Extension と組み合わせると、次のようなことができます。

• 発行されたトークンにカスタムクレームを追加する。
• ユーザーのグループメンバーシップ、ロール、権限を判別する。
• ユーザーのグループ、ロール、権限の情報を app_metadata の一部として保存する。
• ユーザーのグループ、ロール、権限を送信されるトークンに追加する (これらは openid groups permissions roles スコープで要求できます) 。

上記のロジックはルールの一部であるため、ログインのコンテキストでのみ実行されます。ユーザーがグループに追加またはグループから削除された場合、この変更が Auth0 に反映されるのは、ユーザーが次回ログインした後になります。

詳しくは、Auth0 ルール をご覧ください。

​

発行されたトークンにカスタムクレームを追加する

トークンにカスタムクレームを追加するには、Authorization Extension が追加できるようにするルールを別途作成します。カスタムクレームは、名前空間付きにすることも、非名前空間にすることもできます。

詳しくは、Create Custom Claims. をご覧ください。

トークンに追加するクレームの数は、必要最小限に抑えるようにしてください。

function (user, context, callback) {
  var namespace = 'http://yourdomain/claims/'; // 独自のネームスペースを設定できますが、Auth0 domainは使用しないでください

  // 名前空間付きトークンを追加します。シナリオに不要なものは削除してください
  context.idToken[namespace + "permissions"] = user.permissions;
  context.idToken[namespace + "groups"] = user.groups;
  context.idToken[namespace + "roles"] = user.roles;
  
  callback(null, user, context);
}

このルールは、Authorization Extension のルールの後に実行される必要があります。確実にその順序になるよう、このルールは Authorization Extension のルールより下に配置してください。

/authorize エンドポイントを呼び出す場合や Lock を設定する場合は、scope に含める情報として groups、permissions、および/または roles を指定する必要があります。

​

アプリケーションへのアクセスを制御する

Authorization Extension ルールの後で実行されるルールを作成して、アプリケーションへのアクセスを制御することもできます。その方法の 1 つは、アプリケーション メタデータを使用して、各アプリケーションに必要なロールを指定することです。

詳しくは、ルールでメタデータを管理するを参照してください。

​

アプリのメタデータに必須ロールを設定する

アプリのメタデータにロールを設定できます。ロールとは、特定の機能セットを実現するためにまとめた権限のグループです。この手順は、設定したルールがどのアプリに対して動作すべきかを識別できるように、アプリに「タグ付け」するものと考えてください。

1. ⁠⁠⁠⁠required_roles を指定して context.clientMetadata フィールドを設定するには、Auth0 Dashboard > アプリケーション > アプリケーション で対象のアプリケーションを選択します。 すると、そのアプリケーションの 設定 が表示されます。下にスクロールし、ページ下部の 高度な設定を表示 を選択します。
2. アプリケーションのメタデータ で項目を追加し、キー に required_roles を設定します。値 フィールドには、ロールをカンマ区切りで入力します。フィールドを追加するには + 追加 を選択します。
3. 完了したら、変更を保存 を選択します。これで、このアプリケーションからログインすると、context.clientMetadata に、入力したロール値の文字列を持つ required_roles が含まれるようになります。

​

アプリのロールを強制するルールを作成する

これで各アプリに関連付けられたロールが設定されたので、このアプリ情報をコンテキストとして使って実行されるルールを作成できます。

1. このルールを作成する前に、Token Contents の Roles を有効にし、Authorization Extension ルールを公開します。

2. このルールを追加し、生成された “auth0-authorization-extension” ルールの後に配置されていることを確認します。

3. required_roles を設定したら、次の内容で新しいルールを作成します。

   function (user, context, callback) {
     context.clientMetadata = context.clientMetadata || {};
     if (context.clientMetadata.required_roles && context.clientMetadata.required_roles.length){
       if (user.roles) {
         var _ = require('lodash');
         var roles = context.clientMetadata.required_roles.split(',');
         var matchingRoles =_.filter(user.roles, function(roleName) {
           return _.includes(roles, roleName);
         });
   
         if (matchingRoles && matchingRoles.length) {
           return callback(null, user, context);
         }
       }
   
       return callback(new UnauthorizedError('You do not have the required role to access ' + context.clientName));
     }
   
    callback(null, user, context);
   }
   

​

詳細はこちら

• Authorization Extension のデータのインポートとエクスポート
• Authorization Extension の API Access を有効にする