> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Auth0 サービスでアプリケーションを認証する方法について説明します。

# アプリケーションの資格情報

機密アプリケーションは、パブリックアプリケーションとは異なり、資格情報を安全に保管できます。機密アプリケーションが [token endpoint](https://auth0.com/docs/api/authentication#get-token) にアクセスを要求したり、<Tooltip tip="ID トークン: リソースへのアクセスではなく、クライアント自体のための資格情報です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=ID+tokens">ID トークン</Tooltip>をリクエストしたりする場合、アプリケーションは <Tooltip tip="ID トークン: リソースへのアクセスではなく、クライアント自体のための資格情報です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=authorization+server">認可サーバー</Tooltip>に対して認証を行う必要があります。トークンをリクエストする際、アプリケーションは自身のみが知る資格情報を提示します。さらに、アプリケーションの資格情報は、[`/authorize`](https://auth0.com/docs/api/authentication#authorize-application) endpoint に送信されるリクエストパラメーターの真正性と完全性を保護するためにも使用できます。

機密アプリケーションとパブリックアプリケーションの違いについて詳しくは、[Confidential and Public Applications](/docs/ja-jp/get-started/applications/confidential-and-public-applications) を参照してください。

<div id="application-authentication-methods">
  ## アプリケーションの認証方法
</div>

Auth0 からトークンを取得するには、アプリケーションが [Authentication API](https://auth0.com/docs/api/authentication) を通じて認証される必要があります。Auth0 では、アプリケーションの認証方法として次をサポートしています。

* **<Tooltip tip="Client Secret: クライアント（アプリケーション）が認可サーバーに対して認証するために使用する Secret。クライアントと認可サーバーだけが知っている必要があり、推測されないよう十分にランダムでなければなりません。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Client+Secret">Client Secret</Tooltip>:** 対称鍵方式の認証方法です。Client Secret 認証では、アプリケーションの作成時に Auth0 が生成した Client Secret を使用します。
* **Private Key <Tooltip tip="JSON Web Token (JWT): 2者間でクレームを安全に表現するために使用される標準的な ID トークン形式（多くの場合、アクセストークンの形式としても使用されます）。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=JWT">JWT</Tooltip>:** 非対称鍵方式の認証方法です。Private Key JWT では、資格情報として使用する公開キーと秘密キーのペアを生成します。公開キーを Auth0 に提供し、秘密キーは Auth0 と共有せず、自社のシステム内で安全に保管します。
* **<Tooltip tip="OAuth 2.0: 認可プロトコルとワークフローを定義する認可フレームワーク。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=OAuth">OAuth</Tooltip>向けmTLS:** 非対称鍵方式の認証方法です。OAuth向けmTLS では、標準の X.509 クライアント証明書を Auth0 に登録します。次に、対応する秘密キーを使用して mTLS トンネルを安全に確立し、Auth0 テナントのエンドポイントにリクエストを送信します。

<div id="client-secret-authentication">
  ### Client Secret 認証
</div>

Client Secret 認証は、[OAuth 2.0 specification](https://www.rfc-editor.org/rfc/rfc6749#section-2.3) に含まれる対称認証方式です。Client Secret 認証は、Auth0 のデフォルトの認証方法です。

この認証方法は、既存のすべてのアプリケーションとツールでサポートされています。Client Secret は、アプリケーションの作成時に Auth0 によって生成される高エントロピーの値で、アプリケーションと Auth0 の双方で共有されます。アプリケーションは、認可サーバーへのリクエストに Client Secret を含めることで認証されます。

認証情報として Client Secret を使用することには、特に高いセキュリティが求められるシナリオにおいて、いくつかのセキュリティリスクがあります。

* アプリケーションで使用するシークレットは Auth0 と共有されます。
* シークレットはネットワーク経由で送信されるため、中間者攻撃が発生した場合に傍受されるおそれがあります。

<Warning>
  セキュリティ体制を強化するため、Private Key JWT 認証方法の使用を推奨します。
</Warning>

1 つのアプリケーションに設定できる Client Secret は 1 つだけです。新しいシークレットに合わせて実装を更新している間は、シークレットをローテーションできません。詳しくは、[Rotate Client Secrets](/docs/ja-jp/get-started/applications/rotate-client-secret) を参照してください。

<div id="private-key-jwt-authentication">
  ### Private Key JWT 認証
</div>

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  Private Key JWT は Enterprise plan のお客様のみご利用いただけます。アップグレードするには、[Auth0 の料金](https://auth0.com/pricing/)にお問い合わせください。
</Callout>

Private Key JWT 認証は、秘密キーと公開キーのペアを利用する非対称の認証方法です。詳しくは、[JSON Web Token (JWT) Profile for OAuth 2.0 Client Authentication and Authorization Grants](http://tools.ietf.org/html/draft-ietf-oauth-jwt-bearer) をご覧ください。

<Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Auth0+Dashboard">Auth0 Dashboard</Tooltip> または Auth0 <Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Management+API">Management API</Tooltip> を使用して、テナントで Private Key JWT を使用するよう設定できます。詳しくは、[Configure Private Key JWT Authentication.](/docs/ja-jp/get-started/applications/configure-private-key-jwt) をお読みください。

Private Key JWT では、認可サーバーへのリクエストは主に次の 2 つのステップで構成されます。

1. 公開キーと秘密キーを設定します。

   1. [キーペアを生成します](/docs/ja-jp/secure/application-credentials/generate-rsa-key-pair) (公開キー 1 つと秘密キー 1 つ) 。
   2. 認証リクエストを行うアプリケーションに秘密キーを登録し、公開キーをアイデンティティプロバイダー (IdP) に登録します。
2. 認可サーバーへのリクエスト用のアサーションを作成します。

   1. 指定したクレームを含む新しいアサーションを JWT 形式で作成し、秘密キーで署名します。このアサーションを IdP へのリクエストの一部として含めます。
   2. IdP は公開キーを使用してアサーションを検証します。

Auth0 で Private Key JWT を設定するには、[Configure Private Key JWT Authentication](/docs/ja-jp/get-started/applications/configure-private-key-jwt) をお読みください。Private Key JWT 用のアサーションの作成について詳しくは、[Authenticate with Private Key JWT](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-private-key-jwt) をお読みください。

Private Key JWT の使用には、いくつかのセキュリティ上の利点があります。

* 秘密キーはネットワーク経由で送信されないため、アプリケーションの資格情報が漏えるいするリスクを低減できます。Auth0 のような <Tooltip tip="Identity Provider (IdP): デジタルアイデンティティを保存および管理するサービスです。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Identity+providers">アイデンティティプロバイダー</Tooltip> は秘密キーを保持しないため、認証リクエストを作成できるのは秘密キーにアクセスできるアプリケーションだけです。
* 署名付きアサーションの有効期限は短いため、リプレイ攻撃の機会を制限できます。

<div id="mtls-for-oauth">
  ### OAuth向けmTLS
</div>

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  Highly Regulated Identity 機能を利用するには、Highly Regulated Identity add-on を含む Enterprise Plan への加入が必要です。詳しくは、[Auth0 Pricing](https://auth0.com/pricing/) を参照してください。
</Callout>

[OAuth向けmTLS](https://www.rfc-editor.org/rfc/rfc8705) では、自己署名証明書または公開鍵基盤 (PKI) に基づく相互TLSを使用して、認可サーバーへのリクエストを認証します。Auth0 における mTLS 認証の仕組みについて詳しくは、[mTLS で認証する](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-mtls) を参照してください。

Auth0 の OAuth向けmTLS は、主に金融や医療など、すでに mTLS を導入している可能性が高い高度な規制業界の顧客を対象としています。導入を簡単にするため、この mTLS 機能は [カスタムドメイン](/docs/ja-jp/customize/custom-domains) を基盤とし、証明書のプロビジョニングと検証には顧客の既存の mTLS インフラストラクチャを活用します。mTLS による認証やエッジネットワークの設定について詳しくは、[mTLS で認証する](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-mtls) と [customer edge を設定する](/docs/ja-jp/get-started/applications/configure-mtls/set-up-the-customer-edge) を参照してください。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  [mTLS endpoint aliases](/docs/ja-jp/get-started/applications/configure-mtls/configure-mtls-for-a-tenant#enable-mtls-endpoint-aliases) を設定すると、OAuth向けmTLS で特定のサブドメインを使用できます。
</Callout>

mTLS の設定方法については、[mTLS 認証を設定する](/docs/ja-jp/get-started/applications/configure-mtls) を参照してください。エッジネットワークの設定と mTLS の構成が完了したら、[認可サーバーを呼び出す](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-mtls#call-the-authorization-server) で説明されているように、Auth0 にリクエストを送信するため、アプリケーションで mTLS トンネルを確立する必要があります。

mTLS では、クライアント証明書の秘密キーがネットワーク上を送信されないため、アプリケーションの資格情報が漏えいするリスクを低減できます。Auth0 のようなアイデンティティプロバイダーは、この秘密キーにアクセスできません。認証できるのは、秘密キーにアクセスできるアプリケーションのみです。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  mTLS は、攻撃者からアクセストークンを保護するための 送信者制約 や Token Binding もサポートしています。詳しくは、[送信者制約を設定する](/docs/ja-jp/secure/sender-constraining/configure-sender-constraining) を参照してください。Token Binding では、mTLS で使用するクライアント証明書のような、事前登録済みのアプリケーション資格情報は必要ありません。
</Callout>

<div id="jwt-secured-authorization-request-jar">
  ### JWT で保護された認可リクエスト (JAR)
</div>

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  Highly Regulated Identity 機能を利用するには、Highly Regulated Identity add-on が含まれる Enterprise Plan が必要です。詳しくは、[Auth0 Pricing](https://auth0.com/pricing/) をご覧ください。
</Callout>

[JWT-Secured Authorization Request (JAR)](https://datatracker.ietf.org/doc/rfc9101/) は、認可リクエストのセキュリティを強化する OAuth 2.0 のプロトコル拡張です。これは、JSON Web トークン (JWT) をリクエストパラメーターとして使用し、認可リクエストパラメーターの完全性と機密性を保護することで実現されます。

[Auth0 Management API](https://auth0.com/docs/api/management/v2) を使用して、アプリケーションの JAR を設定できます。Auth0 の JAR 実装では非対称暗号方式を使用しており、公開キーを登録し、秘密キーはお客様側で安全に保管します。詳しくは、[Configure JWT-Secured Authorization Requests](/docs/ja-jp/get-started/applications/configure-jar) をお読みください。

JAR を使用する場合、クライアントは認可リクエストパラメーターを含む JWT を作成し、秘密キーで署名して認可サーバーに送信します。認可サーバーは次に、クライアントの公開キーを使用して署名を検証し、署名が有効であれば JWT から認可リクエストパラメーターを取り出して、通常どおりリクエストを処理します。JAR の使用方法について詳しくは、[Authorization Code Flow with JWT-Secured Authorization Requests (JAR)](/docs/ja-jp/get-started/authentication-and-authorization-flow/authorization-code-flow/authorization-code-flow-with-jar) をお読みください。

<div id="key-and-certificate-registration">
  ### キーと証明書の登録
</div>

<Warning>
  認証情報の用途ごとに、個別のキーペアを生成してください。たとえば、JAR と Private Key JWT 認証 の両方で同じキーペアを使い回さないでください。
</Warning>

1 つのアプリケーションに対して、同時に 2 つの公開キーを登録できます。Auth0 は適切なキーを使用して検証を行うため、ダウンタイムなしでキーをローテーションできます。古いキーを削除または無効化すると、対応する秘密キーで署名されたすべてのリクエストは無効になります。

**注:** Auth0 は、アプリケーション認証および認可リクエストの署名について、次のアルゴリズムをサポートしています。RS256、RS384、PS256。これらに対応する適切なキーを必ず指定してください。詳細については、[Configure Private JWT Authentication](/docs/ja-jp/get-started/applications/configure-private-key-jwt) と [Configure JWT-Secured Authorization Requests](/docs/ja-jp/get-started/authentication-and-authorization-flow/authorization-code-flow/authorization-code-flow-with-jar) を参照してください。

同様に、mTLS クライアント証明書についても、1 つのアプリケーションに対して 2 つのクライアント X.509 証明書 (自己署名、または CA 証明書の Subject DN を持つもの) を同時に登録できます。Auth0 は両方のクライアント証明書を使って検証を行うため、ダウンタイムなしで証明書をローテーションできます。

<div id="update-application-authentication-method">
  ## アプリケーションの認証方法を更新
</div>

Auth0 Dashboard でアプリケーションの認証方法を更新できます。詳しくは、[資格情報の設定](/docs/ja-jp/get-started/applications/credentials)を参照してください。

<div id="learn-more">
  ## 詳細はこちら
</div>

* [資格情報の設定](/docs/ja-jp/get-started/applications/credentials)
* [Private Key JWT を使用して認証する](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-private-key-jwt)
* [資格情報のローテーション](/docs/ja-jp/get-started/applications/rotate-credentials)
* [Private Key JWT 認証を設定する](/docs/ja-jp/get-started/applications/configure-private-key-jwt)
* [mTLS を使用して認証する](/docs/ja-jp/get-started/authentication-and-authorization-flow/authenticate-with-mtls)