JSON Web Encryption（JWE）を設定する

JSON Web Encryption（JWE）を使用してアクセストークンのペイロードを暗号化し、中継者による閲覧やデータ侵害時の漏えいから機密性の高いクレームを保護します。

Highly Regulated Identity 機能を利用するには、Highly Regulated Identity add-on を含む Enterprise Plan が必要です。詳しくは、Auth0 Pricing を参照してください。

デフォルトでは、Auth0 は署名付きの JSON Web トークン 形式の アクセストークン を発行します。つまり、完全性は保護されているものの、クライアントやその他の中継者が内容を確認できる状態です。そのため、リソースサーバー のみに公開されることを想定したデータのプライバシーが損なわれる可能性があります。

アクセストークンの不正な閲覧を防ぐため、Auth0 はネストされた JWT アクセストークンをサポートしています。これは、アクセス情報に JWT として署名したうえで暗号化し、JSON Web Encryption (JWE) として表現する方式です。リソースサーバーは、これらのアクセストークンを復号し、JWT ペイロードの署名を検証することが想定されています。一方で、その情報は他のあらゆる第三者からは見えない状態になります。

​

RSAキーペアを生成する

API で JWE を使用するように設定する前に、RSAキーペアを生成する必要があります。

秘密キーは厳重に保管してください。Generate RSA Key Pairで説明されているように、PEM 形式でエンコードした公開鍵を Auth0 にアップロードします。アクセストークンを復号するために秘密キーへ安全にアクセスできるのは、リソースサーバーまたは API サーバーのみです。

​

API の JWE を設定する

Auth0 Dashboard

Auth0 Dashboard を使用して API の JWE を設定します。まず、API の Token Settings にある JSON Web Encryption (JWE) トグルを有効にします。

求められたら、JSON Web Encryption (JWE) キーを追加します。

• 識別しやすいように、わかりやすい名前を入力します。
• PEM 形式でエンコードされた公開鍵を含む証明書をアップロードします。
• 暗号化アルゴリズムを選択します。
• (任意) キー識別子を入力します。

Add をクリックして JWE キーを保存すると、証明書の thumbprint が生成されます。

Management API

Auth0 Management API を使用して、リソースサーバーまたは API サーバーの JWE を設定します。JWE は API ごとに設定する必要があるため、各 API はそれぞれ独自の公開暗号化キーを持ちます。

次の POST リクエストは、新しい API が暗号化されたアクセストークンを受け取るよう設定します。

curl -X POST --location "https://{domain}/api/v2/resource-servers" \
    -H "Authorization: Bearer {managementAccessToken}" \
    -H "Content-Type: application/json" \
    --data-raw '{
  "name": "{apiName}",
  "identifier": "{apiIdentifier}",
  "token_encryption": {
    "format": "compact-nested-jwe",
    "encryption_key":
    {
      "name": "{credentialName}",
      "pem": "{pem}",
      "alg": "{alg}",
      "kid": "{kid}"
    }
  }
}'

次の表は、各パラメータの意味を説明したものです。

パラメータ	必須?	説明
apiName	必須	新しい API の名前。
apiIdentifier	必須	API の一意の識別子。トークンの audience として使用されます。
credentialName	任意	公開鍵の名前。
pem	必須	PEM 形式でエンコードされた公開鍵。
alg	必須	暗号化アルゴリズムには、RSA-OAEP-256、RSA-OAEP-384、RSA-OAEP-512 のいずれかを指定する必要があります。
kid	任意	JWE トークンの kid header に書き込まれる識別子。キー rotation 時に、暗号化に使用されたキーを識別するために利用できます。

レスポンスには、リソースサーバーを一意に識別する id プロパティが含まれます。また、credential の識別に使用できる、生成済みの thumbprint_sha256 フィールドも含まれます。Auth0 は初回作成後、キーマテリアル (この場合は PEM) を返しません。

thumbprint_sha256 を生成する方法はいくつもあります。詳しくは、RFC 8705 OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens を参照してください。

正しい thumbprint_sha256 が生成されたことを確認するには、次の Node.js コードサンプルを使用して thumbprint を抽出できます。

const fs = require('fs');
const crypto = require('crypto');

const { calculateJwkThumbprint, exportJWK } = require('jose');

const publicKeyObject = crypto.createPublicKey(fs.readFileSync('./my_cert.pem'));
exportJWK(publicKeyObject).then((jwk) => {
  calculateJwkThumbprint(jwk, 'sha256').then((thumbprint) => {
    console.log(thumbprint);
  });
});

​

詳細

• JSON Web Encryption