資格情報のローテーション

移行期間中に 2 つのアクティブなキーを維持することで、ダウンタイムをゼロにしてアプリケーションの Private Key JWT 資格情報をローテーションします。

Auth0 では、コンプライアンス要件を満たし、秘密鍵の漏えいによってセキュリティが損なわれることのないよう、キー マテリアルを定期的にローテーションすることを推奨しています。新しいキーに切り替えるには、Auth0 Dashboard または Management API を使用できます。新しい資格情報を作成し、それを private_key_jwt 認証方法に関連付けたうえで、古いまたは未使用の資格情報を削除する必要があります。

現在、1 つのアプリケーションに保存できる資格情報は同時に 2 つまでです。新しい資格情報を繰り返しローテーションするには、未使用の資格情報を削除する必要があります。

Auth0 Dashboard を使用

Auth0 Dashboard でアプリケーションの資格情報をローテーションするには、次の手順を実行します。

1. Auth0 Dashboard > アプリケーション > アプリケーション に移動し、更新するアプリケーションを選択します。

2. Credentials タブに切り替えます。

3. 利用可能な資格情報 セクションで、Add New Key を選択します。

4. 新しい資格情報の名前、PEM 形式の公開鍵、新しい資格情報で使用するアルゴリズムを設定します。

5. Add Credential を選択します。

6. 新しい資格情報を有効化するには、その資格情報のメニューを開き、Enable for Private Key JWT use を選択します。

7. アプリケーションが新しい資格情報を使用するよう更新できたら、元の資格情報を無効化します。

   1. Disable for Private Key JWT Use を選択します。
   2. 無効化したら、資格情報のメニューに戻り、Delete Credential を選択します。

Management API を使用

以下のローテーション例では、credential1 は現在使用中の既存の資格情報、credential2 はその既存の資格情報を置き換える新しい資格情報です。

1. 新しいキーペアを生成します。

2. Management API に POST リクエストを送信して、資格情報リソースを作成します。

   現在、アプリケーションに保存できる資格情報は同時に 2 つまでです。新しい資格情報を繰り返しローテーションするには、未使用の資格情報を削除する必要があります。

3. 資格情報を認証方法 private_key_jwt に関連付けるには、Management API の Update a Client エンドポイントに PATCH リクエストを送信します。

   curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
     --header 'Authorization: Bearer {managementApiAccessToken} \
     --header 'Content-Type: application/json' \
     --data-raw '{
             "client_authentication_methods": {
                "private_key_jwt": {
                   "credentials": [{ "id": {credentialId1} }, { "id": {credentialId2} }]
                }
             }
      }'
   

   Parameter	Description
   clientId	更新するアプリケーション。
   credentialId1	現在使用中の既存の資格情報の ID。
   credentialId2	新しい資格情報の ID。
   managementApiAccessToken	スコープ update:clients および update:credentials を持つ Management API 用のアクセストークン。

4. Auth0 Authentication API 向けのアサーションに新しい秘密鍵で署名するよう、アプリケーションを更新します。

5. アプリケーションから未使用のキーの関連付けを削除します。

   curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
     --header 'Authorization: Bearer $management_access_token' \
     --header 'Content-Type: application/json' \
     --data-raw '{
             "client_authentication_methods": {
                "private_key_jwt": {
                   "credentials": [{ "id": {credentialId2} }]
                }
             }
      }'
   

6. 未使用のキーを削除します。これにより、資格情報はストレージから完全に削除されます。削除するには、先にその資格情報とアプリケーションの関連付けを解除しておく必要があります。

   curl --location --request DELETE 'https://{domain}/api/v2/clients/{clientId}/credentials/{credentialId}' \
     --header 'Authorization: Bearer {managementApiAccessToken}
   

   Parameter	Description
   clientId	更新するアプリケーション。
   credentialId	削除する古い資格情報の ID。
   managementApiAccessToken	スコープ delete:credentials を持つ Management API 用のアクセストークン。

​

有効な資格情報

ダウンタイムをゼロにするため、ローテーション中は複数の資格情報を有効なままにしておくことができます。アプリケーションは、キーが更新されるまで古いキーを使用して通常どおり動作できます。アプリケーションは、有効な資格情報のいずれの組み合わせでも署名付きアサーションを送信できます。

Auth0 では、複数の資格情報を同時に使用する期間をできるだけ短くすることを推奨しています。以下の例では、複数の関連する資格情報を使用しています。

curl --location --request PATCH 'https://$tenant/api/v2/clients/$client_id' \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": $credential1.id }, { "id": $credential2.id }]
             }
          }
 }'

​

詳しくはこちら

• Private Key JWT 認証を設定する
• アプリケーションの資格情報
• 資格情報の設定