サードパーティアプリケーション

強化されたセキュリティ制御を適用して、サードパーティアプリケーションがAPIにアクセスできるよう設定します。

サードパーティアプリケーションとは、パートナー、独立系開発者、AI エージェントなどの外部組織が所有・運用し、あなたのユーザーを認証して API にアクセスするアプリケーションです。

あなたが直接管理する ファーストパーティアプリケーション とは異なり、サードパーティアプリケーションは独立して動作します。リソースへのアクセスを許可することはできますが、そのアクセス権を使って何をするかを制御することはできません。ファーストパーティアプリケーションとサードパーティアプリケーションの違いについて詳しくは、ファーストパーティアプリケーションとサードパーティアプリケーション を参照してください。

サードパーティアプリケーションには、次のような固有の特性があります。

• 強化されたセキュリティ制御: Auth0 はサードパーティアプリケーションに対して enhanced security controls を適用し、外部アプリケーションが明示的に承認されたリソースにのみアクセスできるようにします。ファーストパーティのユースケース向けの機能は利用できません。
• ユーザーの同意: サードパーティアプリケーションが API へのアクセスを要求する場合、Auth0 は常にユーザーの同意を必要とします。同意を省略することはできません。
• 接続: サードパーティアプリケーションは、ドメインレベルの接続を通じてのみユーザーを認証できます。詳しくは、Promote Connections to Domain Level を参照してください。
• Organizations: サードパーティアプリケーションは、ユーザーフローとマシンツーマシンアクセスの両方で Organizations をサポートしています。ユーザーフローでは、organization がオプトインする必要があります。詳しくは、Organizations アクセスを設定する を参照してください。

​

ユースケース

一般的なサードパーティアプリケーションのユースケースには、次のようなものがあります。

• パートナー連携: 外部パートナーが、ユーザーに代わって自社のAPIを呼び出すアプリケーションを構築します。たとえば、CRMベンダーが自社のプラットフォームと連携し、共通の顧客が両製品間でデータを同期できるようにします。
• AIエージェントとMCPクライアント: Claude Code、Copilotを備えたVS Code、カスタムMCPサーバーなどのAI搭載ツールが、ユーザーに代わってアクションを実行するために自社のAPIに接続します。詳しくは、Auth for MCP を参照してください。
• 開発者エコシステム: 開発者ポータル、マーケットプレイス、または Dynamic Client Registration を通じて、外部開発者が自社のプラットフォーム上でアプリケーションを構築できるようにAPIを公開します。
• Cross App Access (XAA): 別の組織のテナントにある従業員向けアプリケーションが、信頼関係を通じて自社のAPIにアクセスします。このとき、リクエスト元のアプリケーションは自社のテナント内でサードパーティアプリケーションとしてモデル化されます。詳しくは、Cross App Access を参照してください。

​

サポート対象のクライアントタイプ

サードパーティアプリケーションは、Confidential と Public の両方のクライアントタイプをサポートしています。

クライアントタイプ	アプリケーションの種類	ユースケース
Confidential	Regular Web App	サーバーサイドのパートナー連携
Public	Single Page App	ブラウザベースのパートナーウィジェット
Public	Native	モバイル向けパートナーアプリケーション

​

サポート対象のグラントタイプ

サードパーティアプリケーションでは、次がサポートされています:

• authorization_code (PKCE必須)
• refresh_token
• client_credentials (機密クライアントのみ)

​

はじめに

Auth0 でサードパーティアプリケーションを設定するには、以下の手順に従ってください。

​

手順 1: アプリケーションを作成する

Auth0 Dashboard または Management API を使用して、サードパーティアプリケーションを作成します。

​

ステップ 2: API Access を設定する

サードパーティアプリケーションが API にアクセスするには、API のアクセスポリシーが Allow All. に設定されている場合でも、常に明示的な認可が必要です。APIアクセスポリシーは、クライアントグラント を通じて設定します。

すべてのサードパーティアプリケーションに自動的に適用されるデフォルト権限を設定できます。これは、多数のサードパーティアプリケーションを管理している場合や、Dynamic Client Registration を使用している場合に便利です。詳しくは、サードパーティアプリケーションのデフォルト権限 を参照してください。

また、クライアントグラント を通じて、個々のアプリケーションに特定の権限を設定することもできます。アプリケーションごとの権限は、デフォルト権限より優先されます。詳しくは、クライアントグラントを作成する を参照してください。

​

ステップ 3: 接続を設定する

サードパーティアプリケーションは、ドメインレベルに昇格された接続を通じてのみユーザーを認証できます。ドメインレベルの接続は、テナント内のすべてのサードパーティアプリケーションで利用できます。

接続をドメインレベルに昇格する方法については、Promote Connections to Domain Level を参照してください。

​

ステップ 4: ユーザーが同意する

ユーザーがサードパーティアプリケーション経由で認証すると、Auth0 は、要求された権限の承認を求める同意ダイアログを表示します。サードパーティアプリケーションでは、同意は常に必須であり、スキップすることはできません。

詳しくは、ユーザーの同意とサードパーティアプリケーション を参照してください。

​

ステップ 5 (任意) ：Organizations で有効化

アプリケーションが organization のコンテキストでユーザーを認証する場合、または organization に代わって API にアクセスする場合は、各 organization でサードパーティアクセスを有効にします。詳細については、Organization のサードパーティアプリケーションアクセスを有効にするを参照してください。

​

Dynamic Client Registration

Dynamic Client Registration では、既定で強化されたセキュリティ制御が適用されたサードパーティアプリケーションが作成されます。サードパーティアプリケーションに対して DCR を有効にする前に、動的に登録されたクライアントが API にアクセスできるよう、デフォルトのAPI権限を設定する必要があります。