Skip to main content
アプリケーションや API がトークンの検証に使用する JSON Web Key (JWK) キーを変更するために、署名鍵を定期的に手動でローテーションできます。アプリケーションまたは API がこのキー変更に対応していない場合、期限切れの署名鍵を使ってトークンを検証しようとすると、認証リクエストは失敗します。
Auth0 では、まず開発テナントで署名鍵のローテーションを実行し、その後、アプリケーションと API が引き続き想定どおりに動作することを確認することを推奨しています。すべてが正常に動作していることを確認したら、本番テナントでも同じ署名鍵のローテーションを実行してください。
Auth0 は一度に 1 つの署名鍵でしか署名しませんが、テナントの Connect (OIDC) ディスカバリー ドキュメントには、常に複数のキーが含まれます。OIDC ディスカバリー ドキュメントには、現在のキーと次のキーの両方が常に含まれ、前のキーがまだ取り消されていない場合は、そのキーも含まれることがあります。緊急時にもシームレスな動作を実現するため、アプリケーションはドキュメントに記載されているどのキーでも使用できるようにしておく必要があります。OpenID Connect ディスカバリー ドキュメントの詳細については、JSON Web Key Sets を確認する をお読みください。
新しい署名鍵に合わせてアプリケーションを更新する時間を確保できるよう、前のキーで署名されたすべてのトークンは、そのキーを取り消すまで引き続き有効です。詳しくは、署名鍵を取り消す をお読みください。
ローテーションする前に、変更がアプリケーション、API、アイデンティティプロバイダーとの連携に与える影響を理解するために、キーのローテーションの影響を確認してください。 テナントのアプリケーション署名鍵は、 または Auth0 を使用してローテーションできます。

​
Auth0 Dashboardを使用する

  1. Auth0 Dashboard > 設定 > 署名鍵 に移動します。
    Auth0 Dashboard テナント設定 署名鍵タブ
  2. Rotation Settings で Rotate Signing Key を探し、Rotate Key を選択します。
  3. 確認するには Rotate をクリックします。
    Auth0 Dashboard 設定 署名鍵タブのローテーション確認

​
Management API を使用する

  1. 署名鍵の一覧を取得するには、Get all Application Signing Keys エンドポイントに GET リクエストを送信します。
  2. 署名鍵をローテーションするには、Rotate the Application Signing Key エンドポイントに POST リクエストを送信します。MGMT_API_ACCESS_TOKEN プレースホルダーの値は、ご利用の Management API アクセストークンに置き換えてください。

​
キー ローテーションの影響

​
アクセストークンを受け付けるAPIとAPIゲートウェイ

ほとんどのミドルウェアやAPIゲートウェイでは、一定間隔でJSON Web Key Set (JWKS) エンドポイントを参照し、現在および今後使用される署名鍵を取得します。ご利用のミドルウェアやAPIゲートウェイがこのエンドポイントに対応しておらず、*.cer ファイルを手動で設定する必要がある場合は、Auth0での署名鍵ローテーションに合わせて、ミドルウェアやゲートウェイの再設定を調整する必要があります。

​
SAML または WS-Fed の IDプロバイダーとしての Auth0

Auth0 が または アイデンティティプロバイダーとして機能する場合、署名鍵をローテーションすると、応答の署名に使用するキーが変更されます。Auth0 が署名した応答の検証を継続できるよう、各サービスプロバイダーを新しい証明書で更新する必要があります。署名鍵をローテーションする前に、次の証明書を信頼するようサービスプロバイダーを更新する方法については、テナントの署名鍵をローテーションする を参照してください。

​
詳しくはこちら