組織 にアプリケーション単位のアクセスを付与する

Auth0 Dashboard または Management API を使用して 組織 のアプリケーション単位のアクセスを有効にすると、メンバーがログインできるアプリケーションを制御できます。

Auth0 では、アプリケーションに組織へのアクセスを許可することで、その組織のメンバーがログインできるアプリケーションを制御できます。デフォルトでは、組織は暗黙的なアクセスモデルを使用しており、メンバーは次の条件を満たすすべてのアプリケーションにアクセスできます。

• Auth0 組織 が有効になっている
  • アクティブな接続が設定されている

組織でアプリケーションごとのアクセスを有効にすると、メンバーがアクセスできるのは明示的に許可したアプリケーションのみになります。

アプリケーションごとのアクセスは組織ごとに設定します。ある組織で有効にしても、テナント内の他の組織には影響しません。

開始する前に

アプリケーションごとのアクセスを設定するには、次の要件を満たす必要があります。

• Management API トークンには、次のスコープが必要です: update:organizations および create:organization_clients。
• アプリケーションでAuth0 組織 を有効化する必要があります。
• アプリケーションで authorization_code または implicit グラントタイプを使用するように設定します。これらのグラントタイプがないアプリケーションも組織に関連付けることはできますが、Member Access 設定はログインに影響しません。
• 早期アクセスでは、各組織でユーザー向けアプリケーションの関連付けを最大100件までサポートします。

​

アプリケーションごとのアクセスを有効にする

組織 でアプリケーションごとのアクセスを有効にすると、アクセス制御が暗黙的なものから明示的なものに切り替わります。メンバーは、明示的にアクセスを許可されたアプリケーションにのみログインできます。

アクセス制御を有効にする前に、アプリケーションのグラントを事前に設定できます。アプリケーションごとのアクセスがオフの間に追加したグラントは Auth0 に保存され、オンにすると有効になります。

アプリケーションごとのアクセスを有効にすると、Auth0 は明示的なグラントがないファーストパーティアプリケーションをブロックします。明示的なグラントがないサードパーティアプリケーションには、引き続き 組織 のサードパーティアプリケーションアクセスポリシーが適用されます。特定のサードパーティアプリケーションに対してこのポリシーをオーバーライドするには、そのアプリケーションをリストに追加し、Member Access を直接設定します。

Auth0 Dashboard

1. Auth0 Dashboard > 組織 に移動し、組織 を選択します。
2. アプリケーション タブを選択します。
3. Per-Application Access トグルを有効にします。
4. Save を選択します。

Management API

is_app_entitlement_active を true に設定して、組織 の更新エンドポイントに PATCH リクエストを送信します。

cURL

curl --request PATCH \
  --url 'https://YOUR_DOMAIN/api/v2/organizations/ORG_ID' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "is_app_entitlement_active": true
  }'

パラメータ	説明
is_app_entitlement_active	この 組織 で明示的なアプリケーションごとのアクセスを適用するかどうかを制御します。有効にするには true を設定します。デフォルトは false です。

​

アプリケーションへのアクセスを許可する

アプリケーションを組織に追加すると、Member Access設定で、メンバーがそのアプリケーションを通じてログインできるかどうかを制御できます。

Auth0 Dashboard

1. Auth0 Dashboard > 組織に移動し、組織を選択します。
2. アプリケーションタブを選択します。
3. + Add Applicationを選択します。
4. アプリケーションを検索して選択します。
5. 組織のメンバーがこのアプリケーションを通じてログインできるように、Member Accessを有効にします。
6. Saveを選択します。

既存のアプリケーション関連付けのメンバーアクセスを更新するには、アプリケーションテーブルでMember Accessをオンまたはオフに切り替え、Saveを選択します。

アプリケーションがユーザーベースのログインをサポートしているかどうかは、Authentication列で確認します。アプリケーションのグラントタイプにauthorization_codeまたはimplicitが含まれていない場合、AuthenticationにはNot applicableと表示され、Member Accessトグルは無効になります。そのアプリケーションのメンバーアクセスを有効にするには、アプリケーションの設定でグラントタイプを更新します。

サードパーティアプリケーション (strict) も追加でき、テーブルにはThird-partyラベル付きで表示されます。サードパーティアプリケーションを追加してMember Accessを設定すると、そのアプリケーションに対する組織のサードパーティアプリケーションアクセスポリシーが上書きされます。

Management API

Create 組織 Client AssociationsエンドポイントにPOSTリクエストを送信します。1回のリクエストで追加できるアプリケーションは最大10個で、組織ごとに最大100個まで追加できます。

cURL

curl --request POST \
  --url 'https://YOUR_DOMAIN/api/v2/organizations/ORG_ID/clients' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "clients": [
      {
        "client_id": "YOUR_CLIENT_ID",
        "use_for_member_access": true
      }
    ]
  }'

パラメータ	説明
client_id	組織に関連付けるアプリケーションのClient ID。
use_for_member_access	trueの場合、アプリケーションごとのアクセスが有効であれば、組織のメンバーはこのアプリケーションを通じてログインできます。authorization_codeまたはimplicitのグラントタイプを持つアプリケーションにのみ有効です。デフォルトはfalseです。

マシンツーマシンアプリケーションを組織に関連付け、use_for_member_accessを設定できますが、メンバーのログインには影響しません。アプリケーションをユーザー向けのタイプに変換する前に、この値を事前に設定できます。

​

アプリケーションへのアクセスを取り消す

Auth0 Dashboard

1. Auth0 Dashboard > Organizationsに移動し、組織を選択します。
2. アプリケーションタブを選択します。
3. アプリケーションの横にあるオーバーフローメニュー (…) を選択し、削除を選択します。

Management API

Delete 組織 Client Associations endpoint に DELETE リクエストを送信します。1回のリクエストで最大10個のアプリケーションを削除できます。この操作は冪等であり、存在しない関連付けを削除してもエラーは返されません。

cURL

curl --request DELETE \
  --url 'https://YOUR_DOMAIN/api/v2/organizations/ORG_ID/clients' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "clients": [
      { "client_id": "YOUR_CLIENT_ID" }
    ]
  }'

​

組織のアプリケーションを一覧表示する

Management API を使用して、組織に関連付けられているすべてのアプリケーションと、各アプリケーションに対するメンバーのアクセスステータスを取得します。

cURL

  curl --request GET \
    --url 'https://YOUR_DOMAIN/api/v2/organizations/ORG_ID/clients' \
    --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN'

レスポンスには、関連付けられた各アプリケーションとその use_for_member_access の値が含まれます。レスポンスでは、チェックポイントベースのページネーションが使用されます。

​

制限事項

• 各組織で関連付けられるユーザー向けアプリケーションは、早期アクセス期間中、最大100件です。この制限は、use_for_member_access の対象となるタイプ (SPA、Regular Web Application、Native) のアプリケーションに適用されます。マシンツーマシンの関連付け上限は、早期アクセス期間中に変更される場合があります。
• 接続レベルおよびクライアントレベルの設定で、アプリケーションごとのアクセス制御を回避することはできません。組織の［アプリケーション］タブに明示的に記載されていないサードパーティアプリケーションは、アプリケーションごとのアクセス制御の対象外です。引き続き、組織のサードパーティアプリケーションアクセスポリシーに従います。

​

詳細情報

• Organizations の概要
• organization に対するサードパーティアプリケーションのアクセスを有効にする
• 組織を作成する