認証
ユーザー管理
カスタマイズ
プラットフォームサードパーティアプリケーション では、設定可能なプロパティが制限されています。サポート対象に含まれないプロパティは、Auth0 Dashboard または Management API では設定できません。詳しくは、サードパーティアプリケーション向けのセキュリティ制御 を参照してください。
基本設定
基本情報
- Name: アプリケーション名です。編集可能で、ポータルやメール、ログなどに表示されます。
- Domain: Auth0 テナント名です。これは新しい Auth0 テナントの作成時に選択するもので、後から変更することはできません。別のドメインが必要な場合は、右上のメニューで + Create Tenant を選択し、新しいテナントを登録する必要があります。
- : アプリケーションを一意に識別する ID です。Auth0 で認証を設定する際に使用します。新しいアプリケーションの作成時にシステムによって生成され、変更することはできません。
- : 認証フローで の署名と検証に使用されるほか、一部の Auth0 API エンドポイントにアクセスするためにも使用される文字列です。デフォルトでは値は非表示になっているため、確認するには Reveal Client Secret ボックスをオンにしてください。Client ID は公開情報と見なされますが、Client Secret は必ず機密として保持する必要があります。第三者に Client Secret へのアクセスを許すと、その人物がトークンを発行し、本来アクセスできないはずのリソースにアクセスできてしまいます。
- Description: アプリケーションの用途を自由記述で説明する項目です。最大 140 文字です。
アプリケーションのプロパティ
- アプリケーションのロゴ: アプリケーションに表示するロゴの URL (推奨サイズ: 150x150 ピクセル) です。Auth0 Dashboard のアプリケーション一覧や、カスタマイズされた同意フォームなど、複数の場所に表示されます。設定しない場合は、このアプリケーションの種類に対応するデフォルトのバッジが表示されます。
- アプリケーションの所有区分: アプリケーションがファーストパーティかサードパーティかを示します。サードパーティアプリケーションには、強化されたセキュリティ制御が適用されます。所有区分は作成時に設定され、後から変更することはできません。詳しくは、ファーストパーティアプリケーションとサードパーティアプリケーションをご覧ください。
-
アプリケーションの種類: Auth0 アプリケーションの種類によって、Auth0 Dashboard で設定できる項目が決まります。 (M2M アプリでは編集できません。また、選択したグラントタイプが現在選択されているアプリケーションの種類でのみ許可されている場合は、他の Auth0 アプリケーションの種類では無効になることがあります。) ドロップダウンから次の種類を選択します。
- Machine to Machine: コマンドラインツール、デーモン、IoT デバイス、バックエンドで動作するサービスなどの非対話型アプリケーションです。通常は、API へのアクセスが必要なサービスがある場合にこのオプションを使用します。
- Native App: デバイス上でネイティブに動作するモバイルアプリケーションまたはデスクトップアプリケーションです (iOS や Android など) 。
- Regular Web App: アプリケーションロジックの大部分をサーバー上で実行する従来型の web app です (Express.js や ASP.NET など) 。
- Single Page App: ユーザーインターフェイスロジックの大部分をウェブブラウザー内で実行し、主に API を使用してウェブサーバーと通信する JavaScript アプリケーションです (AngularJS + Node.js や React など) 。
Application URIs
-
Application Login URI: 状況によっては、Auth0 がアプリケーションをそのログインページにリダイレクトする必要があります。この URI は、アプリケーション内でテナントの
/authorizeendpoint にリダイレクトする route を指している必要があります。通常はhttps://myapp.org/loginの形式です。このフィールドでは、次のプレースホルダーを使用できます。- organization メタデータのプレースホルダー:
{organization.metadata.KEY}を使用すると、request に関連付けられた Auth0 Organization のメタデータに基づいて URL を動的に設定できます (例:https://{organization.metadata.public_login_host}/login) 。 - カスタムドメインのプレースホルダー:
{custom_domain.metadata.KEY}を使用すると、request で使用されるカスタムドメインのメタデータに基づいて URL を動的に設定できます (例:https://{custom_domain.metadata.public_app_host}/login) 。
- organization メタデータのプレースホルダー:
-
Allowed Callback URLs: ユーザーの authentication 後に Auth0 がリダイレクトを許可する URL の一覧です。複数の有効な URL をカンマ区切りで指定できます (通常は、QA やテストなどの異なる環境に対応するためです) 。本番環境では、URL が localhost を指していないことを確認してください。このフィールドでは、次のプレースホルダーを使用できます。
- ワイルドカード: サブドメインには
*を使用します (*.google.com) 本番環境では推奨されません。 - organization のプレースホルダー:
{organization_name}を使用して、登録済み organization の名前を動的に指定します (例:https://{organization_name}.example.com) 。 - カスタムドメインのプレースホルダー:
{custom.domain.metadata.KEY}を使用すると、request で使用されるカスタムドメインのメタデータに基づいて URL を動的に設定できます (例:https://{custom_domain.metadata.public_app_url}/callback) 。
- ワイルドカード: サブドメインには
このフィールドに最初に記載された URL は、対応するプロトコルフローで明示的に指定されていない場合、デフォルトの コールバック URL として使用されます。これは特に、SAML、WS-Fed、および SAML IdP-Initiated SSO フローに適用されます。
{organization_name} プレースホルダーを含む URL を優先してください。詳細は、Subdomain URL Placeholders を参照してください。
- 許可されるログアウト URL: ユーザーが Auth0 からログアウトした後、
returnToクエリパラメータを使ってリダイレクトできます。returnToに使用する URL は、ここに登録されている必要があります。有効な URL はカンマ区切りで複数指定できます。本番環境では、URL が localhost を指していないことを確認してください。- ワイルドカード: サブドメインには
*を使用します (*.google.com) 。本番環境では推奨されません。 - カスタムドメインのプレースホルダー:
{custom.domain.metadata.KEY}を使用すると、リクエストで使用されたカスタムドメインのメタデータに基づいて URL を動的に設定できます (例:https://{custom_domain.metadata.public_app_url}/callback) 。
- ワイルドカード: サブドメインには
- 許可される Web オリジン: Cross-Origin Authentication、Device Flow、およびレスポンスモードとして
web_messageを使用する認可リクエストの送信元となる URL の一覧です。有効な URL はカンマ区切りで複数指定できます。本番環境では、URL が localhost を指していないことを確認してください。これらの URL の検証時には、パス、クエリ文字列、ハッシュ情報は考慮されません (実際には、これらが含まれていると一致に失敗する場合があります) 。Allowed Web Origins フィールドには最大 100 件の URL を指定できます。- ワイルドカード: サブドメインには
*を使用します (*.google.com) 。本番環境では推奨されません。 - カスタムドメインのプレースホルダー:
{custom.domain.metadata.KEY} を使用すると、リクエストで使用されたカスタムドメインのメタデータに基づいて URL を動的に設定できます (例:https://{custom_domain.metadata.public_app_url}/callback) 。
- ワイルドカード: サブドメインには
- 許可されるオリジン (CORS): Auth0 に対してクロスオリジン リソース共有 (CORS) リクエストを送信できる URL の一覧です。
- カスタムドメインのプレースホルダー:
{custom.domain.metadata.KEY}を使用すると、リクエストで使用されたカスタムドメインのメタデータに基づいて URL を動的に設定できます (例:https://{custom_domain.metadata.public_app_url}/callback) 。
- カスタムドメインのプレースホルダー:
ID トークン
id_token が期限切れになるまでの時間を ID トークンの有効期限 (秒単位) で入力します。既定値は 36000 秒 (10 時間) です。
シングルサインオンに IdP ではなく Auth0 を使用する: 有効にすると、有効なセッションを持つ認証済みユーザーは、アイデンティティプロバイダー (Facebook や ADFS など) にリダイレクトされなくなります。レガシーテナントのみ。
Refresh Tokenのローテーション
refresh_tokenを使用してaccess_tokenをリクエストできる許容猶予時間です。詳しくは、Refresh Tokenのローテーションをご覧ください。
リフレッシュトークンの有効期限
オープンリダイレクト保護
application.callback_domain も公開しません。これにより、リダイレクトURIが信頼できない第三者によって管理されている場合のオープンリダイレクト攻撃を防ぐことができます。
オープンリダイレクト保護を無効にするのは、設定したコールバックURIを信頼できるサードパーティアプリケーションの場合に限ってください。
詳しくは、リダイレクト保護を参照してください。
詳細設定
- アプリケーションのメタデータ、デバイス、、および WS-Federation の設定を管理または追加する
- 証明書と に関する情報を取得する
- アプリケーションのグラントタイプを設定する
アプリケーションメタデータ
client_metadata、ルールでは context.clientMetadata として参照できます。メタデータは最大 10 セットまで作成できます。
デバイス設定
- iOS アプリを開発する場合は、Team ID と App ID を入力してください。詳しくは、Apple Xcode で Universal Links のサポートを有効にする をご覧ください。
- Android アプリを開発する場合は、App Package Name と Key Hashes を入力してください。詳しくは、Android App Links のサポートを有効にする をご覧ください。
OAuth
- デフォルトでは、すべてのアプリ/API が委譲リクエストを実行できます。特定のアプリ/API にのみ明示的に権限を付与したい場合は、Allowed Apps/APIs で設定できます。
- Highly Regulated Identity add-on を使用している場合は、Compliance Enforcement Level 設定で準拠レベルを設定します。詳しくは、Configure FAPI Compliance を参照してください。
- Non-Verifiable Callback URI End-User Confirmation: この設定では、検証不能な URI がコールバックとして使用された場合に、ユーザーにログインの確認を求めるかどうかを制御します。Auth0 では、このような場合にエンドユーザー確認をスキップしないことを推奨しています。この設定は、同名のテナント設定より優先されます。詳しくは、Measures Against Application Impersonation を参照してください。
- の署名に使用するアルゴリズム (HS256 または RS256) を設定します。詳しくは、JSON Web Token Signing Algorithms を参照してください。
RS256(推奨) を選択すると、トークンはテナントの秘密キーで署名されます。 - Trust Token Endpoint IP Header 設定を切り替えます。これを有効にすると、
auth0-forwarded-forが信頼できるものとして扱われ、トークンエンドポイントでのブルートフォース攻撃対策のため、エンドユーザーの IP 情報の取得元として使用されます。この設定は、Regular Web Apps と M2M Apps でのみ使用できます。 - スイッチを切り替えて、アプリケーションが OIDC Conformant かどうかを指定します。OIDC Conformant のフラグが付いたアプリケーションは、OIDC 仕様に厳密に準拠します。
グラントタイプ
authorization_code、refresh_token、client_credentials がサポートされます。
WS-Federation
証明書
