機密アプリケーションは、パブリックアプリケーションとは異なり、資格情報を安全に保管できます。機密アプリケーションが token endpoint にアクセスを要求したり、をリクエストしたりする場合、アプリケーションは に対して認証を行う必要があります。トークンをリクエストする際、アプリケーションは自身のみが知る資格情報を提示します。さらに、アプリケーションの資格情報は、/authorize endpoint に送信されるリクエストパラメーターの真正性と完全性を保護するためにも使用できます。
機密アプリケーションとパブリックアプリケーションの違いについて詳しくは、Confidential and Public Applications を参照してください。
Auth0 からトークンを取得するには、アプリケーションが Authentication API を通じて認証される必要があります。Auth0 では、アプリケーションの認証方法として次をサポートしています。
- : 対称鍵方式の認証方法です。Client Secret 認証では、アプリケーションの作成時に Auth0 が生成した Client Secret を使用します。
- Private Key : 非対称鍵方式の認証方法です。Private Key JWT では、資格情報として使用する公開キーと秘密キーのペアを生成します。公開キーを Auth0 に提供し、秘密キーは Auth0 と共有せず、自社のシステム内で安全に保管します。
- 向けmTLS: 非対称鍵方式の認証方法です。OAuth向けmTLS では、標準の X.509 クライアント証明書を Auth0 に登録します。次に、対応する秘密キーを使用して mTLS トンネルを安全に確立し、Auth0 テナントのエンドポイントにリクエストを送信します。
Client Secret 認証は、OAuth 2.0 specification に含まれる対称認証方式です。Client Secret 認証は、Auth0 のデフォルトの認証方法です。
この認証方法は、既存のすべてのアプリケーションとツールでサポートされています。Client Secret は、アプリケーションの作成時に Auth0 によって生成される高エントロピーの値で、アプリケーションと Auth0 の双方で共有されます。アプリケーションは、認可サーバーへのリクエストに Client Secret を含めることで認証されます。
認証情報として Client Secret を使用することには、特に高いセキュリティが求められるシナリオにおいて、いくつかのセキュリティリスクがあります。
- アプリケーションで使用するシークレットは Auth0 と共有されます。
- シークレットはネットワーク経由で送信されるため、中間者攻撃が発生した場合に傍受されるおそれがあります。
セキュリティ体制を強化するため、Private Key JWT 認証方法の使用を推奨します。
Private Key JWT は Enterprise plan のお客様のみご利用いただけます。アップグレードするには、Auth0 の料金にお問い合わせください。
-
公開キーと秘密キーを設定します。
- キーペアを生成します (公開キー 1 つと秘密キー 1 つ) 。
- 認証リクエストを行うアプリケーションに秘密キーを登録し、公開キーをアイデンティティプロバイダー (IdP) に登録します。
-
認可サーバーへのリクエスト用のアサーションを作成します。
- 指定したクレームを含む新しいアサーションを JWT 形式で作成し、秘密キーで署名します。このアサーションを IdP へのリクエストの一部として含めます。
- IdP は公開キーを使用してアサーションを検証します。
Auth0 で Private Key JWT を設定するには、Configure Private Key JWT Authentication をお読みください。Private Key JWT 用のアサーションの作成について詳しくは、Authenticate with Private Key JWT をお読みください。
Private Key JWT の使用には、いくつかのセキュリティ上の利点があります。
- 秘密キーはネットワーク経由で送信されないため、アプリケーションの資格情報が漏えるいするリスクを低減できます。Auth0 のような は秘密キーを保持しないため、認証リクエストを作成できるのは秘密キーにアクセスできるアプリケーションだけです。
- 署名付きアサーションの有効期限は短いため、リプレイ攻撃の機会を制限できます。
Highly Regulated Identity 機能を利用するには、Highly Regulated Identity add-on を含む Enterprise Plan への加入が必要です。詳しくは、Auth0 Pricing を参照してください。 mTLS は、攻撃者からアクセストークンを保護するための 送信者制約 や Token Binding もサポートしています。詳しくは、送信者制約を設定する を参照してください。Token Binding では、mTLS で使用するクライアント証明書のような、事前登録済みのアプリケーション資格情報は必要ありません。 Highly Regulated Identity 機能を利用するには、Highly Regulated Identity add-on が含まれる Enterprise Plan が必要です。詳しくは、Auth0 Pricing をご覧ください。 認証情報の用途ごとに、個別のキーペアを生成してください。たとえば、JAR と Private Key JWT 認証 の両方で同じキーペアを使い回さないでください。
認証
ユーザー管理
カスタマイズ
プラットフォーム