Skip to main content
Auth0 は、エンベロープ暗号化のキー階層の最上位にある Auth0 Environment Root Key を使用して、テナントのシークレットとデータを保護します。 Auth0 Environment Root Key と お客様提供のルートキー は、対応する Auth0 Cloud Service Provider (AWS または Azure) のハードウェアセキュリティモジュール (HSM) に保存されます。

​
Bring Your Own Key

Bring Your Own Key を使用すると、Key Management Editor role を持つユーザーは、Auth0 Management API を使って、デフォルトの Auth0 Environment Root Key を独自の お客様提供のルートキー に置き換えることができます。お客様は、自身の暗号化マテリアルを含む独自の Root Key を安全にアップロードすることで、次のことを実現できます。
  • Environment Root Key に関する独自のキー生成要件および来歴要件を満たす
  • Environment Root Key に関する特定のキー導入要件または有効期間要件を満たす
  • お客様提供のルートキー のコピーを自社施設内に保管する。
Bring Your Own Key で独自の お客様提供のルートキー をインポートすると、その削除を除き、お客様提供のルートキー のライフサイクル管理を Auth0 に委ねないことを暗黙的に意味します。
次の手順に従って、 を使用して お客様提供のルートキー を作成および管理できます。
  1. Create the new encryption key エンドポイントを呼び出して Bring Your Own Key のプロセスを開始し、暗号化マテリアルを持たない、事前に有効化された お客様提供のルートキー の kid (キー識別子) を取得します。
    このエンドポイントは、キーの一意の識別子である kid 値を返します。
  2. Create the public wrapping key エンドポイントを呼び出して、公開ラッピングキーを作成し、返します。
  3. お使いの環境で独自の暗号化キー マテリアルを生成し、それを公開ラッピングキーでラップ (暗号化) して、Wrapped Encryption Key (お客様提供のルートキー) を作成します。
  4. Import the encryption key エンドポイントを呼び出して、お客様提供のルートキー を Auth0 にインポートします。

​
暗号化マテリアルの要件

キー管理システムを使用して、公開ラッピングキーで独自の暗号化マテリアルをラップし、Wrapped Encryption Key を作成します。Auth0 Cloud Service Provider (AWS または Azure) に応じて、CKM_RSA_AES_KEY_WRAP アルゴリズムのパラメーターには次の設定を使用してください。

​
AWS クラウド上の Auth0

  • 公開ラッピングキーの長さ: 3072 ビット
  • アルゴリズム: CKG_MGF1_SHA256
  • CKM_AES_KEY_WRAP_PAD 用の一時 AES キーの長さ: 256 ビット
  • お客様提供のルートキーの種類: 256 ビット長の AES 対称キー

​
Azure クラウド上の Auth0

  • 公開ラッピングキーの長さ: 2048 ビット
  • アルゴリズム: CKG_MGF1_SHA-1
  • CKM_AES_KEY_WRAP_PAD 用の一時 AES キーの長さ: 256 ビット
  • お客様提供のルートキー の種類: 2048 ビット長の RSA 秘密キー
  • 秘密キーのエンコーディング: PKCS #8 - ASN.1 DER

​
Permissions

暗号化キーのエンドポイントへのアクセスを許可するには、以下の権限を使用します。

​
エンドポイント

  • 既存の Environment Root Key または お客様提供のルートキー、ならびに Tenant Master Key に関する情報を取得するには、Get all encryption keys エンドポイントを使用します。
  • 指定したキーに関する情報を取得するには、Get the encryption key by its key id エンドポイントを使用します。
  • 事前に有効化された お客様提供のルートキー のプレースホルダーを作成するには、Create the new encryption key エンドポイントを使用します。
  • 暗号化マテリアルをラップするための公開ラッピングキーを取得するには、Create the public wrapping key エンドポイントを使用します。
  • 新しい お客様提供のルートキー のキーマテリアルをインポートするには、Import the encryption key エンドポイントを使用します。
  • 既存の お客様提供のルートキー を削除し、Bring Your Own Key の使用を停止するには、Delete the encryption key by its key id エンドポイントを使用します。キー階層の再暗号化には Auth0 Environment Root Key が使用されます。この操作によって既存のデータや認証フローに悪影響が及ぶことはありません。
テナントで Customer Managed Keys 機能が有効になっていない場合、API エンドポイントを呼び出すと、次のエラーが返されます: This feature is not enabled for this tenant.