ログアウト とは、認証済みセッションが不要になった時点でそれを終了し、不正な第三者にセッションを「乗っ取られる」可能性を最小限に抑えることです。通常は、ユーザーに提供するユーザーインターフェースにログアウトのオプションを設けることで実現します。ユーザーがログインすると、複数種類のセッションが作成されることがあります (たとえば、ローカルアプリケーションのセッション、Auth0 セッション、サードパーティの セッションなど) 。そのため、ユーザーが ログアウト オプションをクリックした際に、どのセッションを終了する必要があるかを判断しなければなりません。
ベストプラクティス
ログアウト時の動作では、どのセッションが終了されるのかをユーザーが明確に理解できるようにし、できればその後にログアウト完了を視覚的に確認できる表示を行うようにしてください。
- ユーザーがログアウトを開始したとき、どのセッションを終了すべきですか？
- 終了したセッションの確認として、どのような情報をユーザーに提供すべきですか？
- ログアウト完了後、ユーザーをどこにリダイレクトすべきですか？
- ユーザーがログアウト処理を実行しなかった場合、セッションをどのくらい維持したいですか？
ユーザーがログインするたびに作成されるセッションの種類はさまざまであるため、ログアウトにもいくつかの種類があります。ローカルアプリケーションのログアウトでは、そのアプリケーションとのセッションが終了します。一方、Auth0 のログアウトでは Auth0 セッションが終了します。独自の IDP を使用している組織がある場合は、Federated Logout 戦略を検討し、それに応じて実装するとよいでしょう。グローバルログアウト、つまり Single Logout (SLO) では、Auth0 セッションを終了するとともに、Auth0 セッションに依存するアプリケーションにもログアウト要求または通知を送信します。
必要なログアウトの種類や、ユーザーにどのような視覚的確認を提供すべきかは、アプリケーションが提供する機能や、Single Sign-on (SSO) のような機能の利用状況によって決まります。どのオプションを選ぶ場合でも、実装するログアウト処理では、どのセッションが終了されるのか、そしてログアウト処理がいつ完了したのかを、ユーザーに明確に示す必要があります。
あるアプリケーションのログアウト機能によって、他のアプリケーションでも使われている Auth0 SSO セッションが終了されると、未確定のトランザクションがある場合にユーザーが作業内容を失うおそれがあります。作業内容の損失を最小限に抑えるため、このような状況に対処するために必要な機能を必ず追加してください。
ユーザーがログアウトした後にアプリケーションへリダイレクトされ、さらにそのアプリケーションが、ユーザーの有効なセッションが残っている Identity Provider にリダイレクトする場合、ユーザーはアプリケーションに自動的にログインされます。そのため、ユーザーにはログアウト処理が正しく機能しなかったように見えることがあります。
認証
ユーザー管理
カスタマイズ
プラットフォーム