テナント設定

Auth0 Dashboard で利用できるテナント関連の設定について説明します。

Auth0 Dashboard の Auth0 Dashboard > 設定 にある テナント設定 ページでは、Auth0 テナントに関連するさまざまな設定を行えます。

​

推奨設定

テナントを設定する際は、次の項目を設定してください。

• 環境タグを指定します。 Production のタグが付いたテナントには、Development または Staging のタグが付いたテナントよりも高いレート制限が適用されます。Enterprise 以外のプランでは、1 つのサブスクリプションにつき Production としてタグ付けできるテナントは 1 つだけです。詳しくは、Set Up Multiple Environments をご覧ください。
• サポートメール と サポート URL を設定します。 ユーザーがログイン中に問題に遭遇した場合、サポートへの連絡先が必要になります。これらの値を設定して、サポートを受けるためのメールアドレスまたはランディングページに案内してください。
• カスタムエラーページを設定します。 可能であれば、独自のカスタムエラーページをホストし、デフォルトページの代わりにそれを使用するよう Auth0 を設定してください。これにより、エラー発生時に何をすべきかについて、より充実したカスタマイズされた説明をユーザーに提供できます。
• カスタムドメインを設定します。 有料プランをご利用の場合は、Auth0 テナントにカスタムドメインを設定できます。カスタムドメインを使用すると、ログイン体験をブランドに合わせて統一でき、さらに追加の利点も得られます。詳しくは、Custom Domains をご覧ください。
• シングルサインオン (SSO) セッションのタイムアウトを設定します。 SSO セッションのタイムアウト値は、ユーザーのセッションが期限切れになるまでの時間を指定します。デフォルト値は 7 日間で、この期間中、ユーザーは資格情報を再入力せずに Auth0 と統合されたアプリケーションにアクセスできます。詳しくは、Sessions をご覧ください。
• テナントメンバーを設定します。 追加の Auth0 Dashboard ユーザーを設定し、多要素認証 (MFA) を有効にします。詳しくは、Manage Dashboard Access および Manage Dashboard Access with Multi-Factor Authentication をご覧ください。
• Enable Application Connections 設定を無効にします。 この設定が有効になっている場合、設定済みのすべての接続が、新しく作成するすべてのアプリケーションに対して自動的に有効になります。その結果、意図していない接続を通じて、ユーザーがそのアプリケーションにログインできてしまう可能性があります。この設定を無効にして、各アプリケーションに適した接続だけを明示的に有効にできるようにしてください。
• 攻撃対策を有効にします。 ブルートフォース攻撃や漏えいしたパスワードからユーザーを保護します。詳しくは、Attack Protection をご覧ください。

​

一般

一般タブでは、テナントの基本設定をカスタマイズできます。

​

設定

• 表示名: Universal Login ページでユーザーに表示する名前です。通常は、会社名または組織名を指定します。
• ロゴ URL: Universal Login ページに表示するロゴの URL です。推奨される最小解像度は、幅 200 ピクセル × 高さ 200 ピクセルです。
• サポートメール: サポートチームへの連絡に使用するメールアドレスです。
• サポート URL: 会社または組織のサポートページへのリンクです。

​

環境タグ

テナントを Production、staging、または開発用として設定することで、ほかのテナントと区別できます。有料のサブスクリプションを利用している Production タグ付きテナントには、より高いレート制限が適用されます。詳しくは、Set Up Multiple Environments をご覧ください。

​

API 認可設定

• デフォルトの audience: 認可フローで使用する API 識別子です。値を入力すると、Auth0 が発行するすべての アクセストークン に、この API 識別子が audience として指定されます。Default Audience の設定は、すべてのアプリケーションについて、テナントに対して行われるすべての認可リクエストにこの audience を追加するのと同じです。これにより新しい動作となり、一部のアプリケーションでは互換性のない変更が生じる可能性があります。サポートが必要な場合は、サポートにお問い合わせください。
• デフォルトディレクトリ: Resource Owner Password Flow と Universal Login エクスペリエンス の両方で使用するデフォルトの接続名です。値には、次のいずれかの戦略に対応する既存の接続の正確な名前を指定する必要があります: auth0-adldap, ad, auth0, email, sms, waad、または adfs。

​

エラーページ

認可エラーが発生した場合、ユーザーに汎用的なエラーページを表示することも、独自のカスタムエラーページにリダイレクトすることもできます。詳しくは、カスタムエラーページを参照してください。

​

言語

• デフォルト言語: テナントでデフォルトで使用される言語です。
• サポート対象の言語: テナントでサポートされる言語です。

​

サブスクリプション

サブスクリプションタブでは、現在のサブスクリプションを確認したり、現在のプランに含まれる機能を他の Auth0 サブスクリプションプランと比較したりできます。サブスクリプションプランの変更も可能です。詳しくは、Manage Subscriptionをご覧ください。

Enterprise サブスクリプションをご利用の場合、詳細については Auth0 との契約内容をご確認ください。

​

支払い

支払いタブでは、請求情報を入力または更新できます。

​

テナントメンバー

テナントメンバータブでは、テナントに割り当てられているテナントメンバーの一覧を確認できます。また、テナントメンバーの追加や削除、割り当てられているロールの確認、さらに多要素認証 (MFA) が有効かどうかの確認も行えます。詳しくは、Dashboard アクセスの管理をご覧ください。

​

カスタムドメイン

カスタムドメイン タブでは、一貫したユーザーエクスペリエンスを保つためにカスタムドメインを設定できます。カスタムドメインを作成すると、ユーザーは auth0.com ドメインにリダイレクトされることなく、ログイン時もお客様のドメインにとどまります。詳しくは、カスタムドメイン をご覧ください。

利用可否は Auth0 のプランによって異なります

この機能を利用できるかどうかは、ログインの実装方法と、Auth0 のプランまたは個別契約の両方によって異なります。詳しくは、Pricing をご覧ください。

​

署名鍵

署名鍵 タブでは、アプリケーションに送信される ID トークン、アクセストークン、SAML アサーション、および WS-Fed アサーションの署名に使用される署名鍵と証明書を安全に管理できます。

• ローテーション設定: アプリケーションの署名鍵と証明書をローテーションするための設定です。ローテーション時に署名鍵を取り消すかどうかを選択できます。詳しくは、署名鍵 をご覧ください。

  • 署名鍵をローテーション: 署名鍵を取り消さずにローテーションします。実質的には、現在のキーが以前のキーになります。以前のキーで署名されたすべてのトークンは、そのキーが取り消されるまで引き続き有効です。
  • 署名鍵をローテーションして取り消す: 署名鍵をローテーションした後に取り消します。実質的には、現在のキーが以前のキーになり、その後、その以前のキーが無効になります。現在のキーをローテーションして取り消す前に、キュー内の次のキーを使うようにアプリケーションを更新しておいてください。

• 有効なキーの一覧: テナントで有効なアプリケーション署名鍵の一覧です。これらのキーは、アプリケーションのメタデータ エンドポイントでも利用できます。有効なキーには次が含まれます。

  • キュー内の次: 次回、署名鍵がローテーションされたときに使用されるキーです。
  • 現在使用中: 現在使用されているキーです。
  • 以前使用: 以前使用されていたキーです。これが表示されている場合、署名鍵はローテーションされていますが、以前使用されていたキーはまだ取り消されていないことを示します。

• 取り消されたキーの一覧: テナントで最後に取り消された 3 つのキーの一覧です。取り消されたキーの詳細は、テナントログで確認できます。

​

Advanced

Advanced タブでは、テナントの高度な設定を行えます。

​

ログインとログアウト

• Tenant Login URI: /authorize エンドポイントにリダイレクトして OIDC のログインフローを開始する、アプリケーション内のルートを指す URI です。https://mytenant.org/login の形式にする必要があります。これは、Auth0 がテナントに OIDC ログインフローの開始を求める場合にのみ使用されます。詳しくは、Configure Default Login Routes を参照してください。
• Allowed Logout URLs: Logout エンドポイントの呼び出し時に client_id が指定されていない場合に、ログアウト後に Auth0 がリダイレクトできる URL です。シングルサインオン (SSO) が有効な場合の共通リストとして便利です。詳しくは、Logout を参照してください。
• Allowed ACR Values: 許可される Authentication Context Class Reference (ACR) の一覧です。これらの値は OpenID Configuration ドキュメントに含まれます。ここに値が設定されている場合、一覧に含まれていない値が認証フローで使用されると拒否されます。
• RP-Initiated Logout End Session Endpoint Discovery: OpenID Configuration のレスポンスで、logout エンドポイントを end_session_endpoint として公開するかどうかを制御します。
• RP-Initiated Logout End-User Confirmation: RP-Initiated logout request に適切なヒントが含まれていない場合に、ユーザーにログインの確認を求めるかどうかを制御します。
• Non-Verifiable Callback URI End-User Confirmation: コールバックとしてカスタム URI スキームが使用される場合に、ユーザーにログインの確認を求めるかどうかを制御します。Auth0 は、このような場合にエンドユーザー確認をスキップしないことを推奨しています。詳しくは、アプリケーションのなりすまし対策 を参照してください。

​

ログインセッション管理

ログインセッション管理の設定では、Auth0 の認可サーバーのセッションレイヤーに相当する、ログインセッションの有効期間を設定します。認可サーバーのセッションレイヤーはシングルサインオン (SSO) を支えています。詳しくは、シングルサインオンを参照してください。

Auth0 が発行するトークンのタイムアウトは、別の場所で設定できます。トークンのタイムアウトは、アプリケーションセッションレイヤーを制御するためによく使用され、OpenID Connect (OIDC) の ID トークンの exp クレームや、SAML の lifetime assertion などのトークンのクレームに現れます。

• 無操作タイムアウト: ユーザーが認可サーバーを操作しない状態が続いた場合に、セッションの有効期限が切れるまでの時間 (分) 。非 Enterprise プランでは 4,320 分 (3 日) 、Enterprise プランでは 144,000 分 (100 日) を超える場合、システムの上限が適用されます。
• ログインを要求する経過時間: ユーザーの操作状況にかかわらず、再度ログインが必要になるまでの時間 (分) 。非 Enterprise プランでは 43,200 分 (30 日) 、Enterprise プランでは 525,600 分 (365 日) を超える場合、システムの上限が適用されます。

​

Device Flow のユーザーコード形式

Device Authorization Flowを使用している場合、これらの設定でランダムに生成されるユーザーコードを設定します。詳しくは、デバイスユーザーコード設定を構成するを参照してください。

• ユーザーコードの文字セット: ユーザーコードの生成に使用する文字セット。
• ユーザーコードマスク: ユーザーコードの書式設定に使用するマスク。マスクではユーザーコードの長さを定義し、スペースやハイフンを含めて、読みやすい形式に整えることができます。

​

グローバルクライアント情報

グローバル Client ID と グローバル Client Secret は、レガシー Auth0 API 用のトークンを生成するために使用されます。通常、これらの値が必要になることはありません。グローバル Client Secret の変更が必要な場合は、サポートにお問い合わせください。

​

設定 (詳細)

• Change Password フロー v2: 有効にすると、Change Password フローの最新バージョンが使用されます。以前のバージョンは非推奨のため、v2 を有効にすることを強く推奨します。この設定は後方互換性のためにのみ提供されており、一度有効にすると無効にはできません。Auth0 Dashboard の Universal Login > Password Reset タブで、パスワード変更ウィジェットのユーザーインターフェイスをカスタマイズできます。

• Dynamic Client Registration (DCR): 有効にすると、サードパーティの開発者が、お使いの API 用のアプリケーションを動的に登録できるようになります。このフラグは、Auth0 Management API の /tenant/patch_settings エンドポイントを使用して変更することもできます。デフォルトでは、この機能は無効です。詳しくは、Dynamic Client Registration をご覧ください。

• リソースパラメータ互換性プロファイル: リソースパラメータ互換性プロファイルでは、Auth0 が認可リクエストで resource パラメータをどのように処理するかを指定します。

  • 有効時 (新しいテナントでは既定) :
    • Auth0 は、クライアントアプリケーションがアクセスするリソースサーバー (API) を指定するために resource パラメータを使用します
    • Auth0 はまず audience パラメータを確認し、指定されていない場合は resource パラメータにフォールバックします
    • resource パラメータは Auth0 によって処理され、上流の IdP には転送されません
  • 無効時:
    • Auth0 は、リソースサーバーを指定するために audience パラメータのみを使用します
    • resource パラメータは上流の IdP パラメータとして扱われ、IdP に転送されます

• Client ID Metadata Document (CIMD) の登録: URL から外部でホストされている Client ID Metadata Document (CIMD) をインポートして、手動の CIMD 登録を有効にします。CIMD は、アプリケーションが管理する安全な HTTPS ドメインでホストされる、クライアント メタデータを含む JSON ファイルです。詳しくは、Register Applications with CIMD を参照してください。

• アプリケーションの接続を有効化: 有効にすると、新しく作成されるすべてのアプリケーションで、現在のすべての接続が有効になります。

• 公開サインアップ API のエラーメッセージで一般的な応答を使用する: 有効にすると、公開サインアップ API の使用時に発生したエラーに対して、一般的な応答が返されます。これにより、user_exists のようなエラー応答コードから、すでに登録されている識別子 (ユーザー名、メールアドレス、または電話番号) を 悪意のある者 に推測されるのを防ぎ、ユーザー登録の列挙攻撃の対策に役立ちます。

• IdP ドメインを使用したエンタープライズ接続情報の公開を有効にする: 有効にすると、ホームレルムディスカバリー がサポートされ、Auth0 Lock はエンタープライズ接続情報を含む検証済みの公開ファイルを参照します。この機能が不要な場合は、無効にできます。

• Azure AD および ADFS 接続で、ログイン時のメールアドレス確認フローを有効にする: 有効にすると、Azure AD または ADFS 接続を使用するユーザーには、初回ログイン時にメールアドレス確認を求めるプロンプトが表示されます。

• リフレッシュトークンの取り消し時にグラントを削除: 有効にすると、Authentication API の /oauth/revoke エンドポイントを使用してリフレッシュトークンを取り消した際に、関連するグラントも削除されます。

  既存のテナントでは、既存の動作を維持するため、この機能はデフォルトで有効になっています。新しいテナント (2021年1月13日以降) では、リフレッシュトークンを取り消してもグラントが取り消されないようにするため、この機能はデフォルトで無効になっています。グラントの取り消しが必要な場合は、グラント取り消しエンドポイントを使用して別途リクエストを送信する必要があります。

• Authentication API で organization名を許可: 有効にすると、/authorize および SAML エンドポイントで、組織IDと名前の両方を受け付けるようになります。さらに、ID トークンとアクセストークンには org_id と org_name の両方のクレームが含まれます。この設定を有効にする前に、重要な考慮事項や想定される影響について Use Organization Names in Authentication API を確認してください。

• プッシュ型認可リクエスト (PAR) を許可: 有効にすると、/par エンドポイントでクライアントアプリケーションからプッシュされた認可リクエストを受け付けるようになります。これにより、クライアントアプリケーションが安全ではないフロントチャネル (つまりブラウザー) 経由でリクエストを送信せずに済みます。

​

拡張

• 実行環境: Custom Database Action Scripts や Custom Social Connections など、Auth0 の Extensibility 機能で使用する Node.js 実行環境のバージョンを選択します。

• Verify Custom DB スクリプト: 有効になっているカスタムデータベースに対して、Node.js 実行環境のバージョン互換性チェックを選択して実行します。

  Verify Custom Database Action Scripts 機能には、次の特徴があります。

  • テナントに 1 ～ 10 個の database connections がある場合に利用できます。
  • custom database scripts が有効になっている必要があります。
  • 確認されるのは Node.js 実行環境との互換性のみで、機能自体は検証されません。

​

Migrations

このセクションでは、利用可能な各種移行機能の有効／無効を設定できます。

​

機能プレビュー

このセクションでは、利用可能な機能プレビューの有効／無効を切り替えられます。

​

テナントまたはサブスクリプションを削除する

削除したテナントは復元できず、新しいテナントの作成時に同じテナント名を再利用することもできません。テナント設定をリセットする方法については、テナントの削除またはリセットをご覧ください。

​

詳細はこちら

• サブスクリプションの管理
• テナントの削除またはリセット
• Dashboard アクセスの管理
• 署名鍵
• カスタムドメイン