パスワードハッシュと MFA シークレットをエクスポートする

サポートケースを通じて、Auth0 テナントからパスワードハッシュと MFA シークレットの PGP 暗号化エクスポートをリクエストします。

Auth0 テナントからパスワードハッシュまたは MFA シークレットのエクスポートをリクエストすると、データは Auth0 のシステムを離れる前に Pretty Good Privacy (PGP) でエンドツーエンドに暗号化されます。エクスポートされたデータを復号できるのは、対応する秘密キーを保持しているあなただけです。

このページでは、リクエストの送信からエクスポートファイルの復号まで、全体の流れを説明します。

​

前提条件

リクエストを送信する前に、以下の要件を満たす PGP キーペアを生成してください。

要件	値
キー長	4096 ビット以上
暗号化サブキー	キーには、RSA 4096 ビットの暗号化サブキーを少なくとも 1 つ含める必要があります。Auth0 はこのサブキーを使用してエクスポートを暗号化します。ほかのサブキーには異なるパラメータを使用できますが、この要件を満たす必要があるのは 1 つだけです。
パスフレーズ	強力かつ一意であること。ランダムに生成したパスフレーズを推奨します。
有効期限	生成日から少なくとも 7 日後になるように有効期限を設定してください。同じキーを繰り返しエクスポートリクエストに再利用する場合は、それに応じて有効期限を調整してください。
公開鍵のサイズ	ASCII アーマー形式でエクスポートした場合、35,000 文字以下。多数のサードパーティ署名があるキーは、この上限を超える可能性があります。削除方法については、公開鍵をエクスポートするを参照してください。

​

PGPキーペアを生成する

このセクションでは、OpenPGPの標準的なコマンドラインツールである GnuPG (gpg) を使用します。ほかのツールや高度なオプションについては、GnuPGマニュアルを参照してください。

​

GnuPG をインストールする

macOS

brew install gnupg

Homebrew が必要です。ほかのインストール方法については、GnuPG のダウンロードページを参照してください。

Linux

GnuPG はほとんどのディストリビューションにあらかじめインストールされています。インストールされていない場合は、以下を実行してください。

# Debian/Ubuntu
sudo apt-get install gnupg

# RHEL/Fedora
sudo dnf install gnupg2

Windows

gpg コマンドラインツールが含まれる Gpg4win をインストールします。インストール後は、gpg コマンドが PATH で使えるように、ターミナルを再起動してください。

​

キーを生成する

キー生成コマンドを実行します。

gpg --full-generate-key

プロンプトが表示されたら、以下の値を入力してください。

Prompt	Value
必要なキーの種類を選択してください	1 (RSA and RSA)
キーサイズは何を希望しますか	4096
キーの有効期間	上記の有効期限の要件に合う期間 (少なくとも7日間)
本名 / メールアドレス	あなたの名前と、テナント管理者アカウントに登録されているメールアドレスを正確に入力してください。別名の使用や大文字・小文字の違いがあると、バリデーションに失敗する場合があります。
コメント	後でこのキーを識別しやすくするための、機密情報を含まない任意のラベル (例: “Auth0 export key”) 。
パスフレーズ	強力でランダムに生成されたパスフレーズ。

最近のGnuPGでは、最初のプロンプトのデフォルトがECCになっています。必ず明示的に 1 (RSA and RSA) を選択してください。 ECCキーとEDDSAキーは、Auth0のエクスポート用バリデーションではサポートされていません。

​

公開鍵をエクスポートする

キーを生成したら、そのキー ID を確認して公開鍵をエクスポートします。キーを参照するときは、必ずメールアドレスではなくキー ID を使ってください。gpg は指定した識別子に一致する最初のキーを返すため、同じアドレスで複数のキーを生成している場合、メールアドレスで検索すると誤ったキーを取得してしまうことがあります。

キーの一覧を表示します:

gpg --list-keys

出力には、pub 行と、それに続く16文字のキー ID が含まれます。

pub   rsa4096 2026-06-04 [SC] [expires: 2028-06-04]
      ABC123451E45G39A
      uid           [ultimate] Your Name <[e-mail]>
sub   rsa4096 2026-06-04 [E]

キーIDで公開鍵をASCIIアーマー形式でエクスポートします。

gpg --armor --export YOUR_KEY_ID > public_key.asc

YOUR_KEY_ID は、pub 行の下に表示される英数字の文字列 (例: ABC123451E45G39A) に置き換えてください。出力ファイルには、アーマーヘッダーを含む完全なキーブロックが含まれます。

-----BEGIN PGP PUBLIC KEY BLOCK-----
...
-----END PGP PUBLIC KEY BLOCK-----

PGPキーの文字数制限: Auth0では、サポートリクエストとともに送信するPGP公開鍵は最大35,000文字まで受け付けます。サードパーティ署名が多数含まれるキーは、この制限を超える場合があります。

サードパーティ署名を含まない最小限のキーをエクスポートするには:

gpg --armor --export --export-options export-minimal YOUR_KEY_ID > public_key.asc

これにより、Auth0がエクスポートを暗号化するために必要なキー素材を保持したまま、サードパーティによる認証が削除されます。

秘密キーはエクスポートしたり共有したりしないでください。ファイルの暗号化に Auth0 が必要とするのは公開鍵のみです。

​

リクエストの手順

1. サポートリクエストを送信する

   パスワードハッシュまたはMFAシークレットのエクスポートを依頼するため、サポートケースを作成してください。リクエストには次の内容を含めてください。

   • 対象のテナント名。
   • PGP公開鍵 (前のセクションにある完全なASCIIアーマー形式のブロック) 。
2. 適格性の審査を待つ

   Auth0は、エクスポート対象となるかどうかを判断するために、リクエストを審査します。すべてのリクエストがエクスポートの対象になるわけではありません。

   対象となるエクスポートについても、対応はリソースやアクセスの状況に左右されるため、Auth0は予定時期を案内していません。必要な期日がある場合は、リクエストにその旨を記載してください。

3. 必要書類を提出する

   リクエストが承認されると、Auth0から次の内容を求める案内が送られます。

   1. お客様の承認: リクエストに記載したテナントからのエクスポートを承認する旨の書面による確認。
   2. 追加のテナント管理者による確認: 少なくとももう1人のテナント管理者がサポートケースのCCに追加され、リクエストを確認する必要があります。お客様がそのテナントの唯一のテナント管理者である場合、この手順は省略されます。
   3. 署名済みの確認フォーム: Hashed Password and MFA Secret Export Acknowledgmentフォームには、お客様のorganizationのCISO、CSO、または役員クラスの代表者 (VP以上) の署名が必要です。氏名の入力だけでは認められません。手書き署名またはデジタル署名が必要です。記入済みのフォームをサポートケースにアップロードしてください。

   上記のいずれかが不足している、または不備がある場合、リクエストは処理されない可能性があります。

4. エクスポートの準備を待つ

   Auth0が必要書類をすべて受領すると、お客様が提供したPGP公開鍵でテナントデータを暗号化してエクスポートします。

5. 安全なダウンロードリンクを受け取る

   安全なダウンロードリンクを含むメールが届きます。このリンクには次の条件があります。

   • サポートケースを作成したユーザーアカウントとしての認証が必要です。他のテナント管理者は、このリンクからファイルをダウンロードできません。
   • ダウンロード時点で、そのユーザーが引き続きテナント管理者ロールを保持している必要があります。ロールを失った場合、ダウンロードはブロックされ、新たにリクエストを送信する必要があります。
   • 3日で期限切れになります。有効期限が切れる前にファイルをダウンロードしてください。期限切れ後は、新たにリクエストを送信する必要があります。
6. ダウンロードして復号する

   暗号化されたファイル (拡張子は.pgpまたは.gpg) をダウンロードし、鍵の生成時に設定したPGP秘密キーとパスフレーズを使って復号します。

   gpg --output DECRYPTED_EXPORT_FILE --decrypt ENCRYPTED_EXPORT_FILE.pgp
   

   DECRYPTED_EXPORT_FILEは希望する出力ファイル名に、ENCRYPTED_EXPORT_FILE.pgpはダウンロードしたファイル名に置き換えてください。

​

セキュリティに関する注意事項

• 秘密キーやパスフレーズは、Auth0 や Okta のサポート担当者を含め、決して誰にも共有しないでください。Auth0 がそれらを求めることはありません。
• 秘密キーとパスフレーズは、オフラインのデバイスに安全にバックアップしてください。紛失するとエクスポートを復号できなくなるため、新たにリクエストを送信する必要があります。
• ダウンロードリンクを共有しないでください。 ダウンロードには、ケース作成者が有効なテナント管理者ロールで認証する必要がありますが、そのリンクは機密情報として扱ってください。

​

詳細はこちら

• 一括ユーザーエクスポート
• 一括ユーザーインポート
• ユーザー移行のシナリオ