Organization Behavior を定義する

Auth0のOrganizations機能で、アプリケーション内の組織 behaviorを定義する方法について説明します。

Auth0 でアプリケーションを表現する際には、そのアプリケーションがどの種類のユーザーをサポートするかを指定できます。個人アカウントでログインするユーザーをサポートするアプリケーションもあれば、組織のメンバーによる利用を想定したものもあります。両方をサポートするものもあります。これは 組織 behavior と呼ばれ、Auth0 に接続する各アプリケーションごとに設定できます。

たとえば、アプリケーションには次のようなものがあります。

• ログイン ボタンのある一般的なマーケティング用ランディングページがあり、そのボタンからユーザーを組織なしで Auth0 のログインフローに遷移させる。
• B2B 顧客ごとに個別の URL がある (例: Acme のユーザーは acme.yourcompany.com にアクセスする) 構成で、ユーザーを組織付きで Auth0 にリダイレクトし、Acme の SSO Login ボタンが表示されるようにする。

組織 behavior を定義することで、これらのいずれのシナリオにも対応できます。さらに、アプリケーションで組織の指定を必須にしているにもかかわらず、ユーザーが誤って組織なしで Auth0 に送られた場合に、組織名を入力できるプロンプトが表示されるように 組織 behavior を設定することもできます。

組織 behavior は、Auth0 Dashboard または Management API のいずれかを使用して定義できます。

​

Auth0 Dashboard

Auth0 Dashboard で 組織 behavior を定義するには、次の手順に従います。

1. Auth0 Dashboard > アプリケーション に移動し、組織を設定するアプリケーションを選択します。
2. ログインフロー view に切り替え、適切な設定を行います。

Field	Description	API Mapping
Type of Users	アプリケーションにログインできるユーザーの種類を決定します。 選択肢: Individuals: ユーザーは個人アカウントでサインアップし、アプリケーションに直接ログインできます。個人ユーザーは 組織 を使用してログインすることはできません。 Business Users: ユーザーがログインするには、組織 のメンバーである必要があります。これを選択した場合、ユーザーを /authorize エンドポイント にリダイレクトする際に 組織 を指定するか、ログインフロー を Prompt for Organization に設定する必要があります。 Both: ユーザーは 組織 のメンバーとしてログインすることも、個人アカウントでサインアップすることもできます。	Type of Users は organization_usage に対応します 選択肢: Individuals は deny に対応 Business Users は require に対応 Both は allow に対応
Login Flow	ユーザーがアプリケーションにアクセスしたときに最初に表示される login prompt を決定します。この field は、Type of Users が Business Users または Both に設定されている場合にのみ設定できます。 選択肢: Prompt for Credentials: まずユーザーにログイン資格情報の入力を求めます。ログイン後、ユーザーは自分の 組織 を選択できます。 Prompt for Organization: まずユーザーに自分の 組織 を選択するよう求めます。その後、ログインするための資格情報を入力できます。 No Prompt: Auth0 は、どの login prompt をユーザーに表示するかを指定しません。代わりに、適切な prompt を表示するために必要なパラメータを Auth0 に送信するのはアプリケーション側の役割です。	ログインフロー は organization_require_behavior に対応します 選択肢: Prompt for Credentials は post_login_prompt に対応 Prompt for Organization は pre_login_prompt に対応 No Prompt は no_prompt に対応
Organization Discovery	認証前にユーザーの組織を特定するために使用する方法を定義します。Prompt for Organization ログインフロー でのみ使用できます。 選択肢: Prompt for Organization Email: まずユーザーに、その 組織 に関連付けられたメールアドレスの入力を求めます。 Prompt for Organization Name: まずユーザーに、自分の 組織 の名前の入力を求めます。 Prompt for Organization Email and Name: まずユーザーに、自分の 組織 の名前、またはその 組織 に関連付けられたメールアドレスの入力を求めます。	Prompt for Emails: email に対応します。 Prompt for Organization: organization_name に対応します。 Prompt for Organization Email and Name: email と organization_name に対応します。

3. Save changes を選択します。

​

Management API

Update a Client エンドポイント に PATCH リクエストを送信します。client_id、mgmt_api_access_token、organization_usage、organization_require_behavior の各プレースホルダー値は、それぞれ クライアントID、Management API の アクセストークン、組織 の使用オプション、組織 の動作オプションに必ず置き換えてください。

Value	説明
CLIENT_ID	組織 behavior を追加する対象のアプリケーションの ID。
MGMT_API_ACCESS_TOKEN	スコープ update:clients を持つ Management API のアクセストークン。
ORGANIZATION_USAGE	アプリケーションが、組織 へのログインを行うユーザーをサポートできるかどうかを指定します。Options include: deny: (デフォルト) ユーザーは 組織 を使用してログインできません。 allow: ユーザーは 組織 の有無にかかわらずログインできます。これを選択した場合、ユーザーを /authorize エンドポイントにリダイレクトする際に 組織 を指定する必要があります。 require: ユーザーは 組織 を使用してログインする必要があります。これを選択した場合、ユーザーを /authorize エンドポイントにリダイレクトする際に 組織 を指定するか、ログイン前にユーザーが 組織 を選択できるよう organization_require_behavior を pre_login_prompt に設定する必要があります。
ORGANIZATION_REQUIRE_BEHAVIOR	アプリケーションにアクセスするユーザーに表示するログインフローを決定します。organization_usage が require または allow に設定されている場合にのみ適用されます。 Options include: no_prompt: (デフォルト) prompt を表示しません。有効な 組織 パラメータがない request は拒否されます。 pre_login_prompt: ユーザーがログインする前に、組織 を選択するよう求めます。このオプションは、organization_usage が require に設定されている場合にのみ使用できます。 post_login_prompt: ユーザーに資格情報を使用してログインするよう求めます。ログイン後、ユーザーに 組織 を選択するよう求めます。
ORGANIZATION_DISCOVERY_METHODS	認証前にユーザーの 組織 を特定する方法を決定します。organization_require_behavior が pre_login_prompt で、organization_usage が require または allow に設定されている場合にのみ適用されます。 email: (デフォルト) ユーザーは、自分の 組織 に関連付けられたメールアドレスの入力を求められます。 organization_name: ユーザーは、自分の 組織 に関連付けられた名前の入力を求められます。 Organization name and email: ユーザーは、自分の 組織 に関連付けられたメールアドレスまたは名前の入力を求められます。

​

レスポンスステータスコード

想定されるレスポンスステータスコードは、次のとおりです。

ステータスコード	エラーコード	メッセージ	原因
200		クライアントが正常に更新されました。
400	invalid_uri	リクエスト URI が無効です。メッセージは原因によって異なります。	パスが無効です。
400	invalid_body	リクエスト本文が無効です。メッセージは原因によって異なります。	リクエストのペイロードが無効です。
401		トークンが無効です。
401		クライアントはグローバルではありません。
401		JSON Web トークンのバリデーションで無効な署名を受信しました。
403	insufficient_scope	スコープが不足しています。必要なスコープはいずれか 1 つです: update:clients。	指定された bearer token のスコープでは許可されていないフィールドの読み取りまたは書き込みを試みました。
403	insufficient_scope	bearer token のスコープで付与された権限では、一部のフィールドを更新できません。メッセージはフィールドやスコープによって異なります。	指定された bearer token のスコープでは許可されていないフィールドの読み取りまたは書き込みを試みました。
403	operation_not_supported	このアカウントではこの操作を実行できません。	このアカウントではこの操作を実行できません。
404	inexistent_client	クライアントが見つかりません。	存在しないリソースです。指定されたアプリケーションは存在しません。
429		リクエストが多すぎます。X-RateLimit-Limit、X-RateLimit-Remaining、および X-RateLimit-Reset ヘッダーを確認してください。