テナントの mTLS 認証を設定する

カスタムドメインと mTLS エンドポイントエイリアスを設定して相互 TLS 接続を受け入れることで、テナントレベルで mTLS を有効にします。

テナントの mTLS 認証を設定する方法を説明します。

以下の例では、$management_access_token または Management API access token を指定しています。これを、少なくとも次のスコープを含むアクセストークンに置き換える必要があります。

• create:custom_domains
• read:custom_domains
• create:clients
• update:clients
• update:client_credentials
• update:client_keys
• update:tenant_settings

必要なスコープを持つアクセストークンの取得方法について詳しくは、Get Access Tokens をご覧ください。

開始するには、カスタムドメイン を設定して検証する必要があります。

​

カスタムドメインを作成する

テナントレベルでは、Management API で mTLS ヘッダーを受け入れられるように、カスタムドメイン を設定する必要があります。customer edge がクライアント証明書の検証を担当するため、POST リクエストでは type を self_managed_certs に設定します。

curl --location --request POST 'https://$tenant/api/v2/custom-domains' \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
  "domain":"string",
  "type":"self_managed_certs",
  "verification_method":"txt", 
  "tls_policy":"recommended",
  "custom_client_ip_header":"true-client-ip"
}'

リクエストが成功すると、カスタムドメインの検証に使用する識別子が返されます。詳細については、新しいカスタムドメインを設定する API ドキュメントを参照してください。

​

既存のカスタムドメインにパッチを適用する

既存のカスタムドメインは、Management API を使用して、mTLS ヘッダーを受け入れるように設定できます。ただし、すでに存在するカスタムドメインの type は更新できません。

mTLS に使用できるのは、self_managed_certs 型のカスタムドメインのみです。現在、Auth0 は mTLS で auth0_managed_certs 型をサポートしていません。

次の POST リクエストでは、既存のカスタムドメインが mTLS ヘッダーを受け入れるように設定します。

curl --location --request POST 'https://$tenant/api/v2/custom-domains/:id' \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
  "tls_policy":"recommended",
  "custom_client_ip_header":"true-client-ip"
}'

詳しくは、カスタムドメイン設定の更新 API ドキュメントを参照してください。

​

カスタムドメインを検証する

Auth0 がカスタムドメインの作成および更新リクエストを受け付けるには、まずそのドメインを検証する必要があります。Management API を使用して、カスタムドメインを検証するために次の POST リクエストを送信します。

curl --location --request POST 'https://$tenant/api/v2/custom-domains/:id/verify'

検証ステータスを確認するには、status フィールドを確認します。検証が完了してから、カスタムドメインがリクエストを受け付けられるようになるまで最大 10 分かかる場合があります。

Auth0 がカスタムドメインを初めて検証すると、レスポンスに cname_api_key が含まれます。これは、エッジ/リバースプロキシを設定する際に必要です。このキーは秘密にしておく必要があり、転送されたリクエストの検証に使用されます。

詳しくは、カスタムドメインを検証する API ドキュメントを参照してください。

​

mTLS エンドポイントエイリアスを有効にする

mTLS ハンドシェイクでクライアント証明書を要求すると、Web ブラウザーはユーザーに証明書を選択するモーダルダイアログを表示します。これはユーザー体験に不要な負担を与えるため、/authorize エンドポイントのように mTLS が不要なエンドポイントでは避けるべきです。そのため、mTLS トラフィックと非 mTLS トラフィックを異なるドメインでサポートする場合は、mTLS エンドポイントエイリアスを有効にしてください。

mTLS エンドポイントエイリアスは、OIDC discovery document の mtls_endpoint_aliases プロパティで指定されたエンドポイントに mTLS トラフィックを送信する必要があることをクライアントに示します。非 mTLS トラフィックは通常のエンドポイントに送信されます。mtls_endpoint_aliases プロパティの詳細については、リソースサーバーを呼び出すを参照してください。

mTLS エンドポイントエイリアスは、Auth0 Dashboard と Management API で有効にできます。

Auth0 Dashboard

Auth0 Dashboard を使用して mTLS エンドポイントエイリアスを有効にするには、次の手順を実行します。

1. Auth0 Dashboard に移動し、サイドメニューから Settings を選択します。
2. Tenant Settings で Advanced タブを選択します。
3. Allow mTLS Endpoint Aliases を見つけてオンにします。これにより、mTLS トラフィックは mtls.<your custom domain>. というエンドポイントにルーティングされます。

Management API

Management API を使用して mTLS エンドポイントエイリアスを有効にするには、テナントの enable_endpoint_aliases プロパティを true に設定します。

curl --location --request PATCH 'https://$tenant/api/v2/tenants/settings' \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
  "mtls": {
    "enable_endpoint_aliases": true
  }
}'

mTLS エンドポイントエイリアスでは、設定済みのカスタムドメインに mtls. プレフィックスが追加されます。たとえば、設定されたカスタムドメインが auth.saasapp.com の場合、mTLS エンドポイントエイリアスでは mtls.auth.saasapp.com というドメインが使用されます。今後は、ユーザーからのフィードバックに応じて、お客様が mTLS エンドポイントエイリアスを設定できるようになる可能性があります。

mTLS サブドメインは Auth0 の管理下にはありません。管理者はサブドメインに伴うリスクを理解し、適切に対応する必要があります。これには、以下が含まれますが、これらに限りません。

• mTLS で使用するトップレベルドメインおよびサブドメインの所有権と管理権限を確保すること。これを怠ると、ログインハンドラーと mTLS サブドメインの両方を失う可能性があります。これは、カスタムドメイン を使用する場合に特に重要です。
• mtls.auth.saasapp.com など、mTLS サブドメイン用の SSL 証明書を用意すること。*.saasapp.com のワイルドカード証明書には mTLS サブドメインは含まれません。

IP が使われなくなった際に、放置された DNS エントリによるサブドメイン乗っ取りを防ぐこと。詳細については、Mozilla Developer Network (MDN) の Subdomain takeovers ドキュメントを参照してください。

mTLS エンドポイントエイリアスを無効にするには、enable_endpoint_aliases の値を false に設定します。詳細については、Update tenant settings API ドキュメントを参照してください。

​

詳細はこちら

• mTLS で認証する
• Customer Edge を設定する
• クライアント向けの mTLS 認証を設定する