認可を伴う Actions のサンプルユースケース

Auth0 Actions を使用して、カスタムロジックでロールベースのアクセス制御を拡張し、ログイン時にユーザーのロールを評価し、アクセストークンの permissions を追加または削除します。

Auth0 Actions を使用すると、事前設定された認可ポリシーによる決定結果を変更または補完できるため、ロールベースのアクセス制御 (RBAC) だけでは対応できない、より複雑なケースにも対処できます。Actions は実行順序に応じて、permissions が アクセストークン に追加される前に、認可の決定結果を変更できます。また、トークンの内容をカスタマイズすることもできます。

​

特定のアプリケーションへのアクセスを平日のみに制限する

たとえば、平日にのみアクセスできるようにしたいアプリケーションがあるとします。新しいActionを作成し、Action をログインフローに追加するため、Login / Post Login トリガーを選択します。続いて、次のコードを Actions Code Editor にコピーします。

exports.onExecutePostLogin = async (event, api) => {
  if (event.client.name === "APP_NAME") {
    const d = new Date().getDay();

    if (d === 0 || d === 6) {
      api.access.deny("This app is only available during the week.");
    }
  }
}

最後に、作成したActionをログインフローに追加します。Actions を Flows にアタッチする方法については、初めての Action を作成するの「Action をフローに関連付ける」セクションを参照してください。

ユーザーが週末にアプリケーションへアクセスしようとした場合は、認証されており必要な権限を持っていても、アクセスは拒否されます。

​

企業ネットワーク内からアクセスしているユーザーのみにアクセスを許可する

たとえば、アプリケーションへのアクセスは許可したいものの、企業ネットワーク内からそのアプリケーションにアクセスしているユーザーにだけ許可したいとします。新しいActionを作成し、Action をログインフローに追加するため、Login / Post Login トリガーを選択します。次のコードを Actions Code Editor にコピーしてください。

const ipaddr = require("ipaddr.js");

exports.onExecutePostLogin = async (event, api) => {
  const corpNetwork = "192.168.1.134/26";
  const currentIp = ipaddr.parse(event.request.ip);

  if (!currentIp.match(ipaddr.parseCIDR(corpNetwork))) {
    api.access.deny("This app is only available from inside the corporate network.");
  };
};

最後に、作成した Action を ログインフロー に追加します。Actions を Flows に関連付ける方法については、初めての Action を作成する の “Action をフローに関連付ける” セクションを参照してください。

ユーザーが社内ネットワークの外部にいる場合は、認証に成功し、適切な権限を持っていてもアクセスは拒否されます。

ipaddr.js のような npm ライブラリを使用するには、そのライブラリを Action の依存関係として追加する必要があります。詳しくは、初めての Action を作成する の “依存関係を追加する” セクションを参照してください。

​

API を呼び出すすべてのユーザーのアクセスを拒否する

API を呼び出すすべてのユーザーのアクセスを拒否したいとします。つまり、API の identifier 値に基づいてアクセスを拒否する必要があります。この値は、Auth0 Dashboard > アプリケーション > APIs にある API の API Audience フィールドで確認できます。新しい Action を作成し、この Action をログインフローに追加するために Login / Post Login トリガーを選択します。次のコードを Actions Code Editor にコピーします。

exports.onExecutePostLogin = async (event, api) => {
  // Actionsでは、APIはリソースサーバーと呼ばれます。
  const { identifier } = event.resource_server || {};
  if (identifier === "https://api.example.com") {
    api.access.deny("end_users_not_allowed");
  }
}

最後に、作成した Action を ログインフロー に追加してください。Actions を Flows に関連付ける方法については、初めての Action を作成する の “Action をフローに関連付ける” セクションを参照してください。

この場合、API の identifier の値は https://api.example.com なので、これが拒否する audience です。

​

トークンにユーザーのロールを追加する

Auth0 が発行するトークンにユーザーのロールを追加するには、event.authorization オブジェクトを api.idToken.setCustomClaim メソッドおよび api.accessToken.setCustomClaim メソッドとともに使用します。新しい Action を作成し、Action をログインフローに追加するため、Login / Post Login トリガーを選択します。次のコードを Actions Code Editor にコピーします。

exports.onExecutePostLogin = async (event, api) => {
  const namespace = 'https://my-app.example.com';
  if (event.authorization) {
    api.idToken.setCustomClaim(`${namespace}/roles`, event.authorization.roles);
    api.accessToken.setCustomClaim(`${namespace}/roles`, event.authorization.roles);
  }
}

最後に、作成した Action を ログインフロー に追加します。Actions を Flows に接続する方法については、初めての Action を作成する の「Action をフローに関連付ける」セクションを参照してください。

次の点に注意してください。

• 要求元のアプリケーションに返される JWT は、トリガー処理の最後に生成され、署名されます。最終的に署名された JWT には、Action 内からアクセスできません。

​

特定のJA3/JA4フィンガープリントへのアクセスを拒否する

event.security_context オブジェクトには、現在のトランザクションの JA3/JA4 フィンガープリント値が含まれています。

新しいActionを作成し、Action をログインフローに追加するため、Login / Post Login トリガーを選択します。次のコードを Actions Code Editor にコピーします：

exports.onExecutePreUserRegistration = async (event, api) => {
  const clientJa4 = event?.security_context?.ja4;
  console.log('[ACTION]', {clientJa4});
  const badFingerprints = ['t13d1517h2_8daaf6152771_b6f405a00624','t13d1516h2_8daaf6152771_d8a2da3f94cd'];
  if (clientJa4 && badFingerprints.includes(clientJa4)){
    api.access.deny('suspicious_tls_fingerprint', 'Your TLS fingerprint has been flagged as suspicious');
  }
};

最後に、作成した Action を ログインフロー に追加します。Actions を Flows に接続する方法については、初めての Action を作成する の「Action をフローに関連付ける」セクションを参照してください。