Auth0 組織 のM2Mアクセスを設定する

Dashboard または Management API でクライアントグラントの関連付けを通じて、Auth0 組織 のマシンツーマシンアクセスを承認、取り消し、監査します。

Machine-to-Machine Access for Organizations では、クライアント認証情報フローを使用して、各 API ごとに特定のアプリケーションがアクセスできる Auth0 組織 を定義できます。

​

M2Mアクセスを承認する

アプリケーションにマシンツーマシンアクセスを承認するには、特定のAPIに対して組織を使用できるようにする必要があります。そのためには、該当するAPIに対するアプリケーションのクライアントグラントを組織に関連付けます。関連付けると、アプリケーションはクライアントグラントで定義されたAPIとスコープのトークンをリクエストする際に組織を使用できます。組織に対してアプリケーションがアクセスする必要のあるAPIごとに、この関連付けを設定します。

このフローはサードパーティアプリケーションでサポートされています。サードパーティアプリケーションではallow_any_organizationを使用できないため、以下の手順に従って各組織を明示的に承認する必要があります。

Auth0 DashboardまたはManagement APIを使用して、アプリケーションのM2Mアクセスを承認できます。

Auth0 Dashboard

Auth0 Dashboardでアプリケーションのクライアントグラントを組織に関連付けるには、次の手順を実行します。

1. 組織に移動し、関連付ける組織を選択します。
2. Machine-to-Machine Accessタブを選択します。
3. Add Accessを選択します。
4. 組織に関連付けるアプリケーションを選択します。
5. APIを選択します。
6. Saveを選択します。

Management API

Associate client grant to 組織エンドポイントを使用して、アプリケーションのクライアントグラントを組織に関連付けます。

​

M2M アクセスを取り消す

M2M アクセスを取り消す、またはアプリケーションの 組織 へのアクセスを削除するには、クライアントグラントと 組織 の関連付けを削除する必要があります。この関連付けを削除すると、アプリケーションはグラントで定義された API の新しいトークンをリクエストする際に 組織 を使用できなくなります。M2M アクセスの取り消しは、サードパーティアプリケーションでも同様に行えます。

M2M アクセスを取り消しても、組織 へのアクセスが付与されているアプリケーションには影響しません。詳細については、Define 組織 Behaviorを参照してください。

Auth0 Dashboard

Auth0 Dashboardでアプリケーションのクライアントグラントと 組織 の関連付けを削除するには、次の手順を実行します。

1. 組織に移動し、関連付けを削除する 組織 を選択します。
2. Machine-to-Machine Access タブを選択します。
3. アプリケーションを選択します。
4. 組織 との関連付けを解除する API の横にあるチェックボックスをオフにします。
5. Save を選択します。

Management API

Disassociate client grants from 組織エンドポイントを使用して、アプリケーションのクライアントグラントと 組織 の関連付けを削除します。

curl -X DELETE --location "https://{yourDomain}/api/v2/organizations/{ORG_id}/client-grants/{GRANT_ID}" \
  --header 'authorization: Bearer MGMT_API_ACCESS_TOKEN' ;

​

M2M アクセスを監査する

組織 への Machine-to-Machine Access は、クライアントグラントを 組織 に直接関連付けるか、クライアントグラントの設定で任意の 組織 へのアクセスを許可することで付与できます。どちらの場合も、Auth0 Dashboard または Management API で監査できます。ここでは、アプリケーションについて 組織 に関連付けられたクライアントグラントの一覧を表示または取得できます。組織 への M2M アクセス権限の仕組みについて詳しくは、M2M アクセス用にアプリケーションを設定する および M2M アクセスを認可するを参照してください。サードパーティアプリケーションでも、同じ方法で監査できます。

​

直接関連付けによって付与されたアクセス

Auth0 DashboardとManagement APIを使用して、組織に直接関連付けられているクライアントグラントのM2Mアクセスを監査します。

Auth0 Dashboard

Auth0 Dashboardで特定の組織に対して認可されているアプリケーションのクライアントグラントを表示するには、次の手順に従います。

1. 組織に移動し、確認する組織を選択します。
2. Machine-to-Machine Accessタブを選択します。直接関連付けを通じてこの組織のAPIにアクセスできるすべてのアプリケーションが、ページ分割されたリストに表示されます。
3. アプリケーションを選択し、そのアプリケーションに一覧表示されている認可済みAPIを確認します。

Management API

組織 Client Grants APIエンドポイントを使用して、組織に関連付けられたクライアントグラントを取得します。

また、組織のAPIの少なくとも1つにアクセスできるアプリケーションに関する情報を取得するには、Get Clients API endpointのqクエリパラメータに検索タームclient_grant.organization_id:{organization_id}を指定します。User Search Query Syntaxに似たLucene構文を使用してください。

​

任意の組織へのアクセスが許可された場合

Auth0 DashboardとManagement APIを使用して、任意の組織へのアクセスが許可されているアプリケーションのM2Mアクセスを監査できます。

このセクションはサードパーティアプリケーションには適用されません。サードパーティアプリケーションはallow_any_organizationを使用できないため、この監査クエリには表示されません。代わりに、上記の直接関連付けクエリを使用してください。

Auth0 Dashboard

1. 組織に移動します。
2. Machine-to-Machine Accessタブを選択します。少なくとも1つの組織のAPIにアクセスできるすべてのアプリケーションが、ページ分割されたリストで表示されます。
3. アプリケーションを選択し、そのアプリケーションで認可されているAPIを確認します。

Management API

Get Client Grants APIエンドポイントでallow_any_organizationパラメータを指定し、クライアントグラントを取得します。

または、任意の組織の少なくとも1つのAPIにアクセスできるアプリケーションの情報を取得するには、Get Client Grants APIエンドポイントで、検索タームclient_grant.allow_any_organization:trueを指定したqクエリパラメータを使用できます。User Search Query Syntaxと類似したLucene構文を使用してください。

​

組織へのアクセスに基づくアプリケーションの検索

検索結果は結果整合性を持ちます。

次の表は、/clients endpoint の q パラメータを使用してアプリケーションを検索する際にサポートされる検索タームを示しています。

フィールド	説明
client_grant.organization_id:{organization_id}	組織の API のうち少なくとも1つにアクセスできるアプリケーションを検索するために使用します。
client_grant.allow_any_organization:true	任意の組織の API のうち少なくとも1つにアクセスできるアプリケーションを検索するために使用します。

​

テナントログ

Machine-to-Machine Access for Organizations は、テナントログにも反映されます。該当する seccft テナントログで、リクエストに関連付けられた organization を確認できます。

次のコードサンプルは、organization 情報を含む seccft テナントログの例です。

{
  "date": "2024-10-24T19:06:17.460Z",
  "type": "seccft",
  "description": "Client Credentials for Access Token",
  "connection_id": "",
  "client_id": "qoQKtXuhdSibs1jUeXk3mmCwXoAafGnO",
  "client_name": "jwt.io (Test Application)",
  "ip": "130.41.219.72",
  "user_agent": "Other 0.0.0 / Other 0.0.0",
  "hostname": "david-test.test-aws-abundant-lobster-6004.auth0c.com",
  "user_id": "",
  "user_name": "",
  "organization_id": "org_mPdwToiiHHOtz0SH",
  "organization_name": "cc_test",
  "audience": "https://jwt.io.com",
  "scope": "read:data",
  "$event_schema": {
    "version": "1.0.0"
  },
  "log_id": "90020241024190617517817000000000000001223372036854775862",
  "tenant_name": "david-test",
  "_id": "90020241024190617517817000000000000001223372036854775862",
  "isMobile": false,
  "id": "90020241024190617517817000000000000001223372036854775862"
}