組織でのサードパーティアプリケーションによるアクセスを有効にする

サードパーティアプリケーションが組織内のユーザーを認証できるようにする方法を説明します。

組織 では、デフォルトでサードパーティアプリケーションによるユーザー認証が拒否されます。サードパーティアプリケーションが組織内のユーザーを認証できるようにするには、その組織で明示的に許可する設定が必要です。

​

始める前に

• テナントに少なくとも1つのサードパーティアプリケーションが設定されていること。詳細については、サードパーティアプリケーションの設定を参照してください。
• サードパーティアプリケーションに、アクセスが必要なAPIのクライアントグラントがあること。
• Login に使用する接続がドメインレベルに昇格されていること (is_domain_connection: true) 。これと、以下の 組織 のオプトインの両方が必要です。

​

組織でサードパーティアプリケーションのアクセスを有効にする

Auth0 Dashboard または Management API を使用して、サードパーティアプリケーションによるアクセスを有効にできます。

Auth0 Dashboard

1. Auth0 Dashboard > 組織 に移動し、組織を選択します。
2. アプリケーション タブを開きます。
3. サードパーティアプリケーションアクセス で、サードパーティアプリケーションアクセスを許可 を選択します。
4. 保存 を選択します。

組織に対してアプリケーションごとのアクセスを有効にすると、このポリシーは組織の「アプリケーション」タブに明示的に追加されていないサードパーティアプリケーションにのみ適用されます。リストに追加したサードパーティアプリケーションには、代わりに個別のメンバーアクセス設定が適用されます。

Management API

third_party_client_access プロパティを指定して、組織を更新エンドポイントに PATCH リクエストを送信します。

パラメータ	説明
third_party_client_access	サードパーティアプリケーションがこの組織のユーザーを認証できるかどうかを制御します。アクセスを有効にするには allow に設定します。deny (デフォルト) はアクセスをブロックします。

変更を確認するには、組織を取得エンドポイントに GET リクエストを送信し、third_party_client_access が allow になっていることを確認します。

{
  "id": "org_hilSy17Fkb3Ks4bk",
  "name": "acme",
  "display_name": "Acme",
  "third_party_client_access": "allow"
}

​

接続の要件

サードパーティアプリケーションが組織内のユーザーを認証するには、次の2つの接続条件を両方満たす必要があります。

1. 接続がドメインレベルに昇格されている必要があります (is_domain_connection: true) 。組織を使用するかどうかにかかわらず、サードパーティアプリケーションはドメインレベルの接続を介してのみユーザーを認証できます。
2. 接続が組織で有効化されている必要があります。

これらの条件のいずれか一方だけを満たしても十分ではありません。

このドメインレベルの接続要件は、Cross App Access (XAA)を通じて付与されるサードパーティアプリケーションへのアクセスには適用されません。XAA では、サードパーティアプリケーションへのアクセスはエンタープライズ IdP の Cross App Access ポリシーで直接承認されます。詳細については、環境の設定を参照してください。

​

サードパーティアプリケーション向けの組織ログインフロー

サードパーティアプリケーションは外部の開発者によって管理されているため、認可リクエストで organization パラメータが渡されることを前提にはできません。アプリケーションが organization を直接送信する必要がある認証フロー (No Prompt ログインフロー) は、サードパーティアプリケーションでは信頼性に欠けます。

ユーザーを正しい組織コンテキストにルーティングするには、アプリケーションで次のいずれかを設定します。

• Prompt for Credentials: ユーザーはまず認証を行い、ログイン後に Auth0 から組織を選択するよう求められます。
• Prompt for Organization: ユーザーは認証前に組織を指定します。外部アプリケーションから何が送信されるかにかかわらず機能します。必要に応じて 組織 Domain Discovery を有効にすると、ユーザーのメールドメインまたは組織名から組織を自動的に検出できます。検証済みの組織ドメインが必要です。

詳細については、Login Flows for 組織を参照してください。

​

マシンツーマシンアクセス

third_party_client_access 設定は、ユーザー認証フロー (認可コード) にのみ適用されます。クライアント認証情報フローを使用するマシンツーマシンアクセスでは、この設定は考慮されません。M2M アクセスは、organization クライアントグラント のみで制御されます。

サードパーティアプリケーションでは、allow_any_organization は使用できません。各組織は、organization_client_grant によって明示的に認可する必要があります。詳しくは、マシンツーマシンアクセスを設定する を参照してください。

​

ユーザー同意

サードパーティアプリケーションに対するユーザー同意は、組織コンテキストごとに設定されます。ある組織で同意したユーザーが別の組織を通じて同じアプリケーションにアクセスする場合は、再度同意する必要があります。詳細については、組織 での同意を参照してください。

​

詳細情報

• サードパーティアプリケーション
• サードパーティアプリケーションのセキュリティ制御
• サードパーティアプリケーションの設定
• ユーザーの同意とサードパーティアプリケーション
• 組織のログインフロー
• 組織 Connections を有効にする