クライアントシークレットのローテーション

Auth0 Dashboard または Management API を使用して、アプリケーションのクライアントシークレットをローテーションする方法を学びます。

アプリケーションのクライアントシークレットは、Auth0 Dashboardまたは Auth0 のManagement APIを使用して変更できます。クライアントシークレット をローテーションする場合は、新しい値に合わせて認可済みのアプリケーションを更新する必要があります。

クライアントシークレット はパブリックなクライアントアプリケーションに保存すべきではありません。詳しくは、Confidential and Public Applications. を参照してください。

ローテーション中は、新しいシークレットが反映されるまで最大30秒かかることがあります。この反映期間中は、古いシークレットまたは新しいシークレットのいずれかが受け入れられる可能性があるため、アプリケーションは両方を試すように設定する必要があります。ダウンタイムを回避するには、新しいシークレットが有効になる前にアプリケーションにデプロイしてください。推奨される方法は、事前にカスタムクライアントシークレットを設定することです (カスタムクライアントシークレットを設定するを参照) 。ローテーションが有効になった時点ですでにデプロイされているよう、将来使用するシークレットをアプリケーションのコードまたはシステム設定にフォールバックとして保存します。その後、アプリは成功する方のシークレットを使用できます。古いシークレットでリクエストが失敗した場合は、新しいシークレットにフォールバックします。

シークレットは、不要になるまでリスト (または同様の構造) に保存できます。古いシークレットが不要になったことを確認したら、その値をアプリのコードから削除できます。

​

Auth0 Dashboardを使用する

1. Auth0 Dashboard で アプリケーション > アプリケーション に移動し、表示するアプリケーション名を選択します。

   

2. 設定 ページの一番下までスクロールし、Danger Zone で Rotate を選択して確認します。

3. ページの一番上までスクロールし、Credentials タブに切り替えます。

4. クライアントシークレット を見つけて目のアイコンを選択し、新しいシークレットを表示します。

   

5. 新しい値で認可済みアプリケーションを更新します。

​

Management API を使用する

1. Management API の クライアントシークレットをローテーションする エンドポイントを呼び出します。プレースホルダー値 {yourClientId} と {yourMgmtApiAccessToken} は、それぞれクライアント ID と Management API アクセストークンに置き換えてください。

値	説明
{yourClientId}	更新するアプリケーションの ID。
MGMT_API_ACCESS_TOKEN	update:client_keys のスコープを持つ Management API 用のアクセストークン。

2. 新しい値で認可済みのアプリケーションを更新します。

​

カスタムのクライアントシークレットを設定する

自動生成されたシークレットへのローテーションをリクエストする代わりに、Management API の Update a client エンドポイントを使用して、クライアントシークレットを手動で設定できます。実際にローテーションが行われる前に、アプリケーションはフォールバック用として新しいシークレットで構成されます。

   curl --request PATCH \
   --url https://{TenantDomain}/api/v2/clients/{ClientID} \
   --header 'Authorization: Bearer {AccessToken}' \
   --header 'Content-Type: application/json' \
   --data '{
      "client_secret": "{CustomClientSecret}"
      }'

​

詳細はこちら

• 署名証明書を表示
• 署名アルゴリズム
• アプリケーションの署名アルゴリズムを変更する