セッションメタデータを設定する

Actions と Management API を使用して Auth0 セッションメタデータを設定する方法について説明します

セッションメタデータを設定するには、Auth0 の Post-Login Action と Management API を使用できます。また、OpenID Connect バックチャネルログアウト のトークンに含めることもできます。

Auth0 セッションメタデータは安全なデータストアではないため、機密情報の保存には使用しないでください。これには、シークレットや、社会保障番号、クレジットカード番号などの高リスクな PII が含まれます。Auth0 をご利用のお客様には、メタデータに保存するデータを十分に評価し、アイデンティティおよびアクセス管理の目的に必要なものだけを保存することを強く推奨します。詳細については、Auth0 General Data Protection Regulation Compliance をご覧ください。

​

Auth0 Management API

Management API を使用すると、セッションメタデータに対する CRUD (作成、置換、更新、削除) リクエストを管理できます。

/api/v2/sessions/{id} エンドポイントの呼び出しには、update:session スコープを持つ Management API access token が必要です。

​

既存のセッションメタデータを取得する

/api/v2/sessions/{id} エンドポイントに GET リクエストを送信します。

GET /api/v2/sessions/{id}

​

既存のセッションメタデータを追加または更新する

/api/v2/sessions/{id} エンドポイントに PATCH リクエストを送信します:

PATCH /api/v2/sessions/{id}
Content-Type: application/json

{
  "session_metadata": {
    "my_metadata": "my new metadata"
  }
}

​

セッションメタデータを削除する

/api/v2/sessions/{id} エンドポイントに PATCH リクエストを送信します。

PATCH /api/v2/sessions/{id}
Content-Type: application/json

{
  "session_metadata": {}
}

​

Auth0 Post-Login Actions

post-login Action では、api.session オブジェクトを使用してセッションメタデータの CRUD 操作を行えます。これにより、ユーザーごと、またはコンテキスト固有のロジックに基づいてセッションメタデータを管理できます。

​

既存のセッションメタデータを取得する

deviceName メタデータを読み取るには、event.session.metadata?.deviceName を使用します。

const device = event.session.metadata?.deviceName;

event.session.metadata オブジェクトには、次で設定されたメタデータが含まれます。 *同じフロー内の前の Actions *セッションが再利用された場合は、以前のトランザクション

​

既存のメタデータを追加または更新する

セッションメタデータを更新するには、api.session.setMetadata() メソッドを使用します。

api.session.setMetadata("deviceName", "Auth0's iPhone");

変更内容は、以降のActionsの event.session オブジェクトですぐに利用できます。

​

セッションメタデータを削除する

セッションメタデータを削除するには、次の api.session オブジェクトを使用します。

• api.session.deleteMetadata("key") は、指定したセッションメタデータを削除します

• api.session.evictMetadata() は、すべてのセッションメタデータを削除します

これらのオブジェクトの詳細については、以下を参照してください。

• イベントオブジェクト: リフレッシュトークンのイベントオブジェクトとそのプロパティについて説明します。
• API object: リフレッシュトークンの API object とそのメソッドについて説明します。

​

OIDC バックチャネルログアウト

Auth0 Auth0 Dashboard または Management API を使用して、logout_token にセッションメタデータを含めるよう設定できます。

​

Auth0 Dashboard

セッションメタデータを含む OIDC Back-Channel Logout トークンを設定するには、次の手順に従います。

1. Auth0 Dashboard > アプリケーション に移動し、対象のアプリケーションを選択します。

2. 設定 タブを選択します。

3. OpenID Connect Back-Channel Logout > Back-Channel Logout URL で、logout_tokens を受信するアプリケーションのログアウト URI を追加します。

4. Back-Channel Logout Initiators を次のいずれかに設定します。

   • Selected initiators only または

   • All supported initiators

5. Include Session Metadata をオンにします。

6. 変更を保存 を選択します。

設定が完了すると、logout_token には保存されているすべてのセッションメタデータが含まれます。

​

Auth0 Management API

/api/v2/clients/{id} エンドポイントを使用すると、logout_token にセッションメタデータを含めるようアプリケーションを更新できます。

/api/v2/sessions/{id} エンドポイントに PATCH リクエストを送信します:

"oidc_backchannel_logout": {
  "backchannel_logout_initiators": {
    "mode": "all"
  },
  "backchannel_logout_urls": [
    "https://httpdump.app/inspect/9bccf574-e55f-4b2e-9822-f37372588fc1"
  ],
  "backchannel_logout_session_metadata": {
    "include": true
  }
}

​

エラー処理

Auth0 Dashboard > Monitoring > Logs に移動してセッションメタデータのログイベントを確認するか、Management API logsエンドポイントを使用してログを取得できます。

• Actions を使用したセッションメタデータの追加または更新中にエラーが発生した場合、認証トランザクションは失敗し、エラーがコールバックURLに返されます。

失敗を示す f イベントコードが、対応するエラーとともにログに記録されます:

{
  "error": "access_denied",
  "error_description": "Failed to set session metadata: Invalid metadata: Metadata keys may only include letters, numbers, underscores, or hyphens",
  "state": "my-custom-state"
}

• Auth0 Management API を使用したセッションメタデータの管理でエラーが発生した場合、API は対応するメッセージとともに HTTP status: 400 エラーを返します。

{
  "statusCode": 400,
  "message": "Metadata must not exceed 25 entries. Each key and value must be ≤ 255 characters."
}