複数のアイデンティティプロバイダー Organization

各 Auth0 Organization が複数の Auth0 接続 を持つ、複数のアイデンティティプロバイダー（IdP）Organization について説明します。

複数のアイデンティティプロバイダー (IdP) Organization のシナリオでは、Auth0 Organizations 機能を利用するすべての Organization が、複数の Auth0 接続 を使用します。多くの点で、このシナリオの実装は 単一のアイデンティティプロバイダー Organization。実際、Auth0 Organizations 機能は、両者を組み合わせて利用することも、2 つの間を簡単に移行することもサポートしています。ただし、追加で考慮すべき点がいくつかあります。

​

接続

通常 Authorization に含まれる情報に加えて、ユーザーの第 1 要素の認証が行われた特定の Auth0 接続 に関する詳細を追加することもできます。明示的に必須ではありませんが、アクセス制御に利用できる追加のコンテキストをアプリケーションや API に提供するために、この情報をカスタムクレームとして IDトークン や アクセストークン に追加できます。

次の例に示すように、カスタムクレームは通常、Rule の拡張機能を使って追加します。これにより、context オブジェクトを使用して 接続 固有の情報にアクセスできます。

context.idToken['http://travel0.net/connection'] = context.connection;     // コネクション名のクレーム
context.accessToken['http://travel0.net/connection'] = context.connection; // コネクション名のクレーム

Rules のコンテキストオブジェクトでは、ユーザーの第1要素認証に使用される 接続 のさまざまな情報 (connection 名、connectionID、connectionStrategy など) にアクセスできます。また、一元化されたポリシーの適用の一部として利用できる追加情報も提供されるため、Rule の拡張性も高まります。

​

データベース接続

Auth0 では複数のデータベース接続およびカスタムデータベース接続をプロビジョニングできますが、これらの種類の接続を複数、1 つの Auth0 Organization に関連付けることは推奨されません。データベース接続およびカスタムデータベース接続は現在、識別子ファースト認証の重要な構成要素であるホームレルム検出をサポートしていないため、複数定義されている場合、Universal Login の New Experience ではそれらを選び分けることができません。

ベストプラクティス

Auth0 Organization で使用するカスタムデータベース接続を定義する場合は、その Auth0 Organization に関連付けるカスタムデータベース接続を、常に 1 つだけにしてください。

​

Enterprise 接続

エンタープライズアプリケーションで Enterprise Federation を使用している場合は、その Authentication Profile で ホームレルム検出を使用した識別子ファースト認証 を有効にできます。有効にすると、ホームレルム検出によって既知のドメインのメールアドレスが検出され、適切な Workforce ログインに自動的に送られます。

詳しくは、Login Flows for Organizations の 識別子ファースト認証 を参照してください。

​

ソーシャル接続

認証のセクションで説明した考慮事項以外に、複数のIdPを持つ組織のシナリオでソーシャル接続を使用する場合、追加で考慮すべき点はありません。