クライアント主導のバックチャネル認証を設定する

テナント向けにクライアント主導のバックチャネル認証を設定する方法を説明します。

クライアント主導のバックチャネル認証 (CIBA) 機能を利用するには、Enterprise プランまたは適切なアドオンが必要です。詳しくは Auth0 Pricing をご覧ください。

クライアント主導のバックチャネル認証 (CIBA) フロー は、OpenID Foundation によって定義された、認証と認可を分離したフローです。CIBA フローは、CIBA リクエストを開始するデバイス (利用デバイス) と、ユーザーが認証に使用するデバイス (認証デバイス) が異なる非同期ワークフローで使用できます。

Auth0 で CIBA を設定するには、次の作業が必要です。

• アプリケーションの CIBA グラントタイプを設定する
• アプリケーションの通知チャネルを有効にする
• CIBA の通知チャネルを設定する

​

前提条件

アプリケーションで CIBA を設定する前に、アプリケーションの認証方式が設定されていることを確認してください。CIBA フローでは、mTLS 認証、Private Key JWT、および Client Secret 認証を含め、どの認証方式も使用できます。

アプリケーションの認証方式を設定するには、Credential Settingsを参照してください。

​

アプリケーションの CIBA グラントタイプを設定する

Auth0 Dashboard または Management API を使用して、アプリケーションの CIBA グラントタイプを設定できます。

CIBA グラントタイプを使用できるクライアントの種類には、いくつかの制限があります。CIBA グラントタイプを使用できるのは、次の場合に限られます。

• クライアントがファーストパーティクライアントであること。つまり、is_first_party プロパティが true であること。
• クライアントが認証メカニズムを備えた機密クライアントであること。つまり、token_endpoint_auth_method プロパティが none に設定されていないこと。
• クライアントが OIDC 準拠であること。つまり、oidc_conformant が true であること。これは、すべての新しいクライアントでデフォルトで有効です。

CIBA グラントタイプを有効にすると、アプリケーションで利用可能な通知チャネルの設定が表示されるようになります。

Auth0 Dashboard

Auth0 Dashboard でアプリケーションの CIBA を設定するには、次の手順を実行します。

1. Auth0 Dashboard で Applications > Applications に移動します。
2. アプリケーションを作成し、Grant Types タブで Client Initiated Backchannel Authentication (CIBA) を有効にします。

3. 変更を保存 をクリックします。

Management API

Management API を使用してアプリケーションの CIBA を設定するには、Update a Client エンドポイントを使用して、クライアントオブジェクトのグラントタイプの一覧に urn:openid:params:grant-type:ciba を追加します。

curl --location --request PATCH 'https://{YOUR_DOMAIN}.auth0.com/api/v2/clients/{YOUR_CLIENT_ID}' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
--data '{
    "grant_types": [
        "authorization_code",
        "refresh_token",
        "urn:openid:params:grant-type:ciba"
    ]
}'

Go 用の Management API SDK を使用することもできます。詳しくは、SDKs を参照してください。

myClient := &Client{
    Name:        auth0.Stringf("CIBA-enabled-client"),
    Description: auth0.String("This is a CIBA enabled client."),
    GrantTypes:  &[]string{"urn:openid:params:grant-type:ciba"},
  }

  err := api.Client.Create(context.Background(), myClient)

​

アプリケーションの通知チャネルを有効にする

クライアント主導のバックチャネル認証 (CIBA) 機能を使用するには、Enterpriseプランまたは適切な add-on が必要です。詳細については、Auth0 Pricing を参照してください。

アプリケーションで CIBA のグラントタイプを有効にすると、CIBA フローで有効にする通知チャネルを設定できます。複数の通知チャネルを有効にしている場合、CIBA は requested_expiry パラメーターの値に基づいて使用する通知チャネルを決定します。requested_expiry は、CIBA セッションの有効期間の上限を秒単位で指定します。

• モバイルプッシュ通知: requested_expiry を 300 秒以下に設定すると、有効になっている場合は CIBA でモバイルプッシュ通知チャネルが使用されます。
• メール通知: requested_expiry を 301 ～ 259200 秒 (72 時間) に設定すると、有効になっている場合は CIBA でメール通知チャネルが使用されます。

Auth0 Dashboard

Auth0 Dashboard でアプリケーションの通知チャネルを設定するには、次の手順に従います。

• Applications > Applications に移動します。
• アプリケーションの設定で Client Initiated Backchannel Authentication (CIBA) セクションに移動し、有効にする通知チャネルを選択します。

Management API

クライアントアプリケーションの /api/v2/clients エンドポイントに PATCH リクエストを送信し、CIBA フローの通知チャネルを設定します。

次のコードサンプルでは、CIBA フローの guardian-push 通知チャネルを有効にしています。

curl -L --request PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-H "Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}" \
-d '{
    "async_approval_notification_channels":["guardian-push"]
}'

​

通知チャネルを設定する

クライアントアプリケーションで通知チャネルを有効にしたら、CIBAフロー用の通知チャネルを設定します。

• モバイルプッシュ通知を設定する
• メール通知を設定する

​

モバイルプッシュ通知を設定する

CIBA でモバイルプッシュ通知を送信するには、次のいずれかを使用できます。

• Auth0 Guardian アプリ
• Auth0 Guardian SDK を統合したカスタムアプリ

Auth0 Guardian プッシュ通知を有効にする際に、使用するアプリを選択できます。カスタムアプリを使用する場合は、Auth0 Guardian SDK を統合する必要があります。これにより、認可を行うユーザーは、CIBA フローによって開始されたプッシュ通知チャレンジをカスタムアプリで承認できるようになります。

モバイルプッシュ通知を設定するには、次を行ってください。

• Auth0 Guardian プッシュ通知を有効にする
• プッシュ通知を使用して認可を行うユーザーを MFA に登録する

​

Auth0 Guardian のプッシュ通知を有効にする

Auth0 Dashboard で、テナントの Auth0 Guardian Push Notification 認証要素を有効にします。

Auth0 Dashboard で、次の操作を行います。

• Security > Multi-factor Auth. を選択します。

• 使う を有効にします。これには、いくつかの MFA 設定が必要になる場合があります。詳しくは、MFA 用のプッシュ通知を設定する を参照してください。

• Push Notification App で、使用するアプリを選択します。

• Save をクリックします。

​

プッシュ通知を使う多要素認証に認可を行うユーザーを登録する

ユーザーが多要素認証のプッシュ通知を利用するよう登録されていない場合、Auth0 は CIBA リクエストを拒否する代わりに、設定されていればメール通知を使用します。

Auth0 Guardian アプリとカスタムアプリのどちらでも、プッシュ通知を使う多要素認証に認可を行うユーザーを登録する必要があります。

ユーザーが Auth0 Dashboard で登録されているか確認するには、User Management > Users に移動し、対象のユーザーをクリックします。

テナントで 多要素認証 を常に必須に設定している場合、ユーザーは次回ログイン時に多要素認証への登録を求められます。多要素認証への登録を促すために Actions を使用することもできます。

​

メール通知を設定する

CIBA でメール通知を使用するには、有料プランの Auth0 for AI Agents アドオンが必要です。詳しくは、Auth0 Pricing をご覧ください。

CIBA フローでは、メール通知を送信できます。CIBA でメール通知を設定するには、次の項目を確認してください。

• メールプロバイダーを設定する
• Asynchronous Approval テンプレートを使用するように、メールテンプレートを設定する
• 認可を行うユーザーのメールアドレスが確認済みであることを確認する

​

メールプロバイダーを設定する

開発環境やテスト環境では、メール配信のテストに Auth0 の組み込みメールプロバイダーを使用できますが、本番環境で CIBA のメール通知を利用するには、独自のメールプロバイダーを設定する必要があります。

独自のメールプロバイダーの設定方法については、メールのカスタマイズを参照してください。

​

メールテンプレートを設定する

Asynchronous Approval メールテンプレートを設定するには、次の手順に従います。

Auth0 Dashboard

1. Branding > メールテンプレート に移動します。
2. Template で、ドロップダウンメニューから Asynchronous Approval を選択します。
3. テンプレートフィールドを設定する の手順に従って、残りのテンプレート設定を入力します。

Management API

/email-templates/async_approval エンドポイントに PATCH リクエストを送信し、テンプレートフィールドを設定する の手順に従って、残りのテンプレート設定を入力します。詳しくは、メールテンプレートを更新する API ドキュメント を参照してください。

curl -L "https://{YOUR_DOMAIN}.auth0.com/api/v2/email-templates" \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-H "Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}" \
-d '{"template":"async_approval","body":"{{application.name}} says click on {{url}}, binding message: {{binding_message}}","subject":"Action Required","syntax":"liquid","enabled":true,"from":""}'

​

認可を行うユーザーのメールアドレスが確認済みであることを確認する

ユーザーのメールアドレスが確認済みでない場合、Auth0 は CIBA のメールリクエストを拒否します。

CIBA でメール通知を送信するには、認可を行うユーザーのアカウントに、確認済みのメールアドレスが関連付けられている必要があります。

Auth0 Dashboard を使用して、ユーザーのメールアドレスが確認済みであることを確認する手順は次のとおりです。

1. User Management > Users に移動し、該当するユーザーをクリックします。
2. Email に、確認済みのメールアドレスが表示されていることを確認します。