Skip to main content
Auth0 セッションのライフサイクルは、ユーザーがログインすると始まり、ユーザーの操作がある限りアクティブな状態が維持され、セッションの有効期限が切れるか明示的に終了されると終わります。 Auth0 では、ユーザーが認可サーバーとやり取りしている場合、そのセッションはアクティブと見なされます。 たとえば、次のような場合です。 セッションは永続または非永続に設定でき、これによりブラウザーでのセッション Cookie の動作を制御できます。
  • 永続セッション では、有効期限のタイムスタンプを持つ Cookie が保存されます。
  • 非永続セッション では、Expires=0 を指定して Cookie が保存されます。これにより、ブラウザーを閉じたときに Cookie を削除するようブラウザーに指示します。
セッション Cookie の永続化動作は、ブラウザーの実装に依存します。Auth0 は、すべてのブラウザーで非永続 Cookie が期待どおりに削除されることを保証できません。 詳しくは、Cookies をご覧ください。

​
セッションの有効期間

永続セッションと非永続セッションでは、それぞれに Idle と Absolute (Maximum) の有効期間を設定して、セッションの有効期限を定めることができます。

​
アイドルタイムアウト

アイドルタイムアウトは、無操作状態が許容される最長時間を定めるものです。ユーザーがシングルサインオン (SSO) 、サイレント認証、または /authorize を通じて Auth0 とやり取りするたびに、アイドルタイマーはリセットされます。設定された期間内に Auth0 とのやり取りがない場合、セッションは失効します。

​
絶対タイムアウト (最大)

絶対タイムアウトは、ユーザーのアクティビティにかかわらず、セッションが有効でいられる最大時間を定義します。絶対タイムアウトに達すると、セッションは期限切れになり、ユーザーは再認証が必要になります。 セッションの有効期間を設定する方法をご覧ください。

​
セッションの有効期間の上限

セッションの有効期間には、次の上限があります。

​
上流 ID プロバイダーによるセッションの有効期限

Okta または OIDC エンタープライズ接続を使用する場合、上流アイデンティティプロバイダーで設定されたセッションの有効期間を適用できます。Auth0 は上流 IdP の ID トークンから session_expiry クレームを取得し、ユーザーセッションの有効期間の上限として使用します。これにより、Auth0 セッションがその作成元である IdP セッションより長く存続することはありません。 詳細については、エンタープライズ接続のセッション有効期限を設定する (IPSIE) を参照してください。

​
次のステップ

  • Actions を使用してセッションのライフサイクルを設定する方法について詳しくは、Actions でのセッションを参照してください。
  • Auth0 Management API のセッション管理エンドポイントについて詳しくは、Management API でのセッションを参照してください。