Token Vault

Token Vault が、対応している外部プロバイダーのアクセストークンとリフレッシュトークンを安全に保存する仕組みについて説明します。

Token Vault を使用すると、アプリケーションがユーザーに代わって外部 API にアクセスする方法を簡素化できます。Token Vault と連携すると、Google、GitHub、Microsoft など、さまざまな外部サービスとその API へのアプリケーションアクセスを安全に管理できるようになります。

ユーザーがサポート対象の外部プロバイダーに接続し、OAuth スコープを使用してアクセスを認可すると、Auth0 はその接続済みアカウントを自動的にユーザープロファイルに追加します。接続済みアカウントを利用すると、アプリケーションは統一された Auth0 ユーザープロファイルを使用して外部 API にアクセスできます。詳しくは、Connected Accounts for Token Vault をご覧ください。

Auth0 は、各接続済みアカウントのアクセストークンとリフレッシュトークンを Token Vault に保存します。Token Vault から保存済みの資格情報を取得するには、アプリケーションで安全なトークン交換を実行します。このトークン交換により、アプリケーションは外部 API を呼び出すために必要なトークンを取得できるため、各プロバイダー向けのカスタム連携を個別に構築して維持する必要がなくなります。

​

対応している外部プロバイダー

Token Vault は、次のような一般的な外部プロバイダーに対応しています。

​

ソーシャル

• Google
• Microsoft
• Box
• Slack
• GitHub
• カスタムソーシャル接続

​

エンタープライズ

• Google Workspace
• Microsoft Azure AD (Entra ID)
• OpenID Connect

対応している外部プロバイダーの全一覧については、Auth0 Integrations をご覧ください。

​

一般的なユースケース

一般的な Token Vault のユースケースには、次のようなものがあります。

• ウェブアプリケーションとして動作する AI エージェントが、Google Calendar で会議を設定するなど、ユーザーに代わってタスクを実行するために外部 API を呼び出します。
• 内部サービスまたはバックエンドサービスは、Token Vault にアクセスして Auth0 のアクセストークンを外部プロバイダーのアクセストークンに交換し、外部 API を呼び出すことができます。

​

仕組み

ユーザーがサポート対象の外部プロバイダーに接続し、その接続を承認すると、次のように動作します。

• Auth0 は、ユーザーが要求された権限を明示的に承認したうえで、OAuth 2.0 のスコープを使用してアクセストークンとリフレッシュトークンを取得します。
• Auth0 は、各接続済みアカウントのトークンを Token Vault に安全に保存します。各接続済みアカウントはユーザープロファイルにリンクされているため、アプリケーションはユーザーに接続の再承認を求めることなく、外部 API やサービスを利用できます。
• アプリケーションは Auth0 を呼び出して、ユーザーの有効な Auth0 トークンを、そのユーザーに発行された外部プロバイダーのアクセストークンに交換します。詳しくは、サポートされているトークン交換を参照してください。
• その後、アプリケーションは外部プロバイダーのアクセストークンを使用して、ユーザーに代わって外部 API を呼び出せます。

​

Organizations で使用する

アプリケーションで Organizations を使用している場合は、まず対象の organization でユーザーを認証してから、使用する外部プロバイダーの Connected Accounts flow を開始します。

Organizations を Token Vault と併用する場合:

• Organizations は、セッションにおける login、branding、access policy のコンテキストを定義します。
• Connected Accounts は引き続き、外部プロバイダーを個々の Auth0 ユーザープロファイルにリンクします。
• 各 organization メンバーは、それぞれ自分の外部アカウントを接続して認可します。Token Vault が organization 共通のアカウントを作成することはありません。

​

サポートされているトークン交換

外部プロバイダーのAPIを呼び出すには、アプリケーションで有効なAuth0トークンを、Token Vaultから取得する外部プロバイダーのアクセストークンに交換する必要があります。交換に使用するAuth0トークンの種類は、クライアントアプリケーションの種類とユースケースによって異なります。

アプリケーションは、次のトークン交換を使用してToken Vaultにアクセスできます。

トークン交換	説明	クライアントアプリケーションの種類
リフレッシュトークン交換	Auth0のリフレッシュトークンを外部プロバイダーのアクセストークンと交換します。	ユーザーセッションを維持し、ユーザーがアプリケーションをアクティブに使用していない間も外部APIにアクセスする必要があるアプリケーション (Web、モバイル、ネイティブアプリケーションなど) 。
アクセストークン交換	Auth0のアクセストークンを外部プロバイダーのアクセストークンと交換します。	SPA (Single-Page Application) など、他のサービスやアプリケーションから受け取ったアクセストークンを交換する必要があるAPIまたはマイクロサービス。
特権ワーカートークン交換	署名付きJWTベアラートークンを外部プロバイダーのアクセス トークンまたはリフレッシュトークンと交換します。	service-to-service (M2M) フローのバックエンドアプリケーションまたはサービスワーカー。

​

はじめに

Token Vault を使い始めるには、以下をご覧ください。

読むもの…	学べること…
Connected Accounts for Token Vault	Connected Accounts for Token Vault の設定方法と使い方。
Refresh Token Exchange with Token Vault	アプリケーションが Token Vault のリフレッシュトークン交換を使用して外部 API を呼び出す方法。
Access Token Exchange with Token Vault	アプリケーションが Token Vault のアクセストークン交換を使用して外部 API を呼び出す方法。
Privileged Worker Token Exchange with Token Vault	アプリケーションが Token Vault の特権ワーカートークン交換を使用して外部 API を呼び出す方法。
Configure Token Vault	トークン交換を含む Token Vault の設定方法。