Adaptive MFA のカスタマイズ

Actions を使用して Auth0 Adaptive MFA をカスタマイズし、リスク評価の信頼度と詳細に基づいてログイン試行に対してチャレンジを要求するか、許可するか、ブロックするかを決定します。

Auth0 Actions を使用すると、さまざまなシナリオに合わせて Adaptive MFA をカスタマイズできます。

​

Adaptive MFA をカスタマイズするタイミング

Adaptive MFA のカスタマイズを検討すべきなのは、ユーザーが MFA に登録済みで、かつ識別子としてメールアドレスを使用する必要がある場合に限られます。

ユーザーが MFA に登録されていない場合は、Adaptive MFA のデフォルトポリシーを使用してください。ユーザーが MFA に登録されておらず、かつ Action が高リスクと判断した場合、悪意のある主体 を阻止するための手段は限られます。

Adaptive MFA のカスタマイズを始める前に、いくつか自問してみてください。

• どの信頼度レベルで MFA をトリガーしますか？
• リスクをどのように測定しますか？
• 信頼度は Auth0 に測定させますか、それとも独自に測定しますか？
• MFA に登録されていないユーザーにどう対応しますか？

​

信頼度スコア

Adaptive MFA は、NewDevice、ImpossibleTravel、UntrustedIP の 3 つの評価の分析に基づいて、総合的な信頼度スコアを算出します。詳しくは、Adaptive MFA: 仕組みを参照してください。

各評価にはそれぞれ独自の信頼度スコアがあり、各信頼度スコアには対応するアクションがあります。

Confidence score	Description	Action
low	ログイントランザクションが、そのユーザーにこれまで見られたパターンと一致しません。	MFA を要求します。
medium	ログイントランザクションが、そのユーザーにこれまで見られたパターンとある程度一致します。	MFA は要求されません。
high	ログイントランザクションが、そのユーザーにこれまで見られたパターンとよく一致します。	MFA は要求されません。
neutral	該当なし。将来の利用のために予約されています。	該当なし。将来の利用のために予約されています。

異なる信頼度スコアにおける高リスクおよび低リスクのシナリオ例を表示します。

次の表は、low の信頼度スコアとなる高リスクのシナリオを示しています。

User State	Desired Login Friction	Desired Enrollment Policy	Implementation
MFA に登録済み	MFA を要求しない	該当なし (ユーザーはすでに登録済み)	Action を使用して MFA を回避
MFA に未登録	メール確認を要求する	登録をスキップする (追加の認証器は収集しない)	デフォルトの動作 (MFA 関連の Action なし)
MFA に未登録	メール確認を要求する	MFA 登録を要求する (追加の認証器を収集する)	Action を使用して MFA 登録を強制する (テンプレートあり)

次の表は、high の信頼度スコアとなる低リスクのシナリオを示しています。

User State	Desired Login Friction	Desired Enrollment Policy	Implementation
MFA に登録済み	追加の手順なし	該当なし (ユーザーはすでに登録済み)	デフォルトの動作 (MFA 関連の Action なし)
MFA に未登録	追加の手順なし	登録をスキップする (追加の認証器は収集しない)	デフォルトの動作 (MFA 関連の Action なし)
MFA に未登録	追加の手順なし	MFA 登録を要求する (追加の認証器を収集する)	Action を使用して MFA 登録を強制する (テンプレートあり)

異なるシナリオにおける総合的な信頼度スコアを評価する独自の方法を実装したい場合は、総合的な信頼度スコア、バージョニング情報、および各評価の詳細を含む riskAssessment オブジェクトで利用可能なデータを使用できます。

riskAssessment オブジェクトの完全な説明、プロパティ、値については、post-login Actions トリガー riskAssessment リファレンスを参照してください。

​

Action の結果パターン

MFA をトリガーする Actions は、デフォルトの Adaptive MFA の動作よりも優先されます。

お使いの Actions のいずれかが 信頼度スコア に基づいて MFA をトリガーする場合、デフォルトの Adaptive MFA ポリシーでは、信頼度スコア が low のときに MFA がトリガーされます。

次の表は、Actions とデフォルトの Adaptive MFA ポリシーの動作の組み合わせごとに、どのような結果になるかを示しています。

Action の結果	Adaptive MFA の動作	結果
未許可	MFA をトリガー	未許可
未許可	MFA は不要	未許可
MFA をトリガー	MFA をトリガー	MFA をトリガー
MFA をトリガー	MFA は不要	MFA をトリガー
MFA は不要	MFA をトリガー	MFA をトリガー
MFA は不要	MFA は不要	MFA は不要

​

Action テンプレート

Auth0 では、カスタマイズ可能な Adaptive MFA ベースの Action テンプレートとして、Adaptive MFA と MFA 登録を必須にする の 2 つを提供しています。

​

Adaptive MFA テンプレート

このテンプレートは、個々のリスク評価を使用してカスタムのビジネスフローを構築する方法の例と、その出発点を示します。この例では、次を使用します。

• api.multifactor.enable Action トリガー。これにより、ログインフローの最後に登録の処理と、設定済みの MFA チャレンジ の提示の両方を行います。
• ユーザーが登録済みの認証要素を含む、event.user.multifactor Actions トリガー。

/**
* Post-Loginフローの実行中に呼び出されるハンドラー。
*
* @param {Event} event - ユーザーおよびログインコンテキストに関する詳細情報。
* @param {PostLoginAPI} api - ログインの動作を変更するために使用できるメソッドを持つインターフェース。
*/
exports.onExecutePostLogin = async (event, api) => {
    // MFAをトリガーする信頼度スコアを決定します。詳細については以下を参照してください。
    const promptConfidences = ['low', 'medium'];

    // 条件の例: NewDeviceの信頼度レベルのみに基づいてMFAを要求します。
    // これにより、ユーザーが未知のデバイスからログインした場合に
    // MFAが要求されます。
    const confidence =
        event.authentication?.riskAssessment?.assessments?.NewDevice
            ?.confidence;
    const shouldPromptMfa =
        confidence && promptConfidences.includes(confidence);

    // MFAを要求するのは、ユーザーが少なくとも1つの登録済みMFA認証要素を
    // 持っている場合に限ります。
    const canPromptMfa =
        event.user.multifactor && event.user.multifactor.length > 0;
    if (shouldPromptMfa && canPromptMfa) {
        api.multifactor.enable('any', { allowRememberBrowser: true });
    }
};

ユーザーに求めるには、api.multifactor.enable を api.authentication.challengeWithAny() に置き換えて、ユーザーがすでに登録している認証要素で MFA チャレンジを強制します。Actions でサポート対象の認証要素を確認するには、factors パラメータをご覧ください。例:

この例では、登録状況を確認するために event.user.multifactor ではなく event.user.enrolledFactors を使用しています。event.user.multifactor とは異なり、event.user.enrolledFactors には認証要素として email も含まれるため、メールのみを設定しているユーザーについても、登録済みの認証要素を正しく返します。

// MFAを要求するのは、ユーザーが少なくとも1つの登録済みMFA認証要素を
// 持っている場合に限ります。
const canPromptMfa = event.user.enrolledFactors && event.user.enrolledFactors.length > 0;

if (shouldPromptMfa && canPromptMfa) {
    api.authentication.challengeWithAny([ {type: "email"}, {type:"phone"} ]);
}

​

MFA登録を必須にするテンプレート

このテンプレートでは、標準のポリシーまたはAdaptive MFAポリシーを使用する際に、MFA登録を必須にする方法を示します。event.user.multifactorを使ってユーザーがMFAに登録済みかどうかを確認し、未登録の場合は登録を求めるプロンプトを表示します。

/**
* PostLogin フローの実行中に呼び出されるハンドラー。
*
* @param {Event} event - ユーザーおよびログインコンテキストに関する詳細情報。
* @param {PostLoginAPI} api - ログインの動作を変更するために使用できるメソッドを持つインターフェース。
*/
exports.onExecutePostLogin = async (event, api) => {
    if (!event.user.multifactor?.length) {
        api.multifactor.enable('any', { allowRememberBrowser: false });
    }
};

​

Action のユースケース

ユースケースに応じてカスタム Actions を構築する際の例をいくつか紹介します。

全体の信頼度スコアが X の場合にアクションを実行する

riskAssessment.confidence プロパティを確認し、high、medium、low の定数と比較します。

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication || {};
  const riskIsMedium = riskAssessment && riskAssessment.confidence === 'medium';

  if (riskIsMedium) {
    // ....
  }
}

信頼度スコアが X より高い、または低い場合にアクションを実行する

信頼度スコアは範囲ではなく離散値のため、比較演算子 (< や > など) を使って 1 つの条件で複数の値を評価することはできません。

対応したい信頼度スコアを論理的に組み合わせるには、複数の条件を使用します。たとえば、信頼度スコアが low より高い場合を判定するには、medium または high と等しいかどうかを確認します。

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication || {};
  const riskIsMediumOrHigh = riskAssessment && 
                                  (riskAssessment.confidence === 'high' || 
                                   riskAssessment.confidence === 'medium');

  if (riskIsMediumOrHigh) {
    // ...
  }
}

全体の信頼度スコアが X の場合に追加の詳細を取得する

riskAssessment オブジェクトはテナントログに保存されます。ログエントリを確認すると、リスク評価スコアとその判定要因 (理由) を確認できます。

また、riskAssessment オブジェクトを参照して、その結果を別の場所に報告することもできます。たとえば、メールを送信したり、外部データベースにレコードを保存したりできます。

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication || {};
  const riskIsLow = riskAssessment && riskAssessment.confidence === 'low';

  if (riskIsLow) {
    // log(externalDatabase, riskAssessment);
  }
}

特定の 評価 が特定の結果を返した場合にアクションを実行する

各 評価 の詳細 (code プロパティを含む) にアクセスするには、assessments object を使用します。

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication || {};
  const { ImpossibleTravel } = riskAssessment && riskAssessment.assessments;

  if (ImpossibleTravel.code === 'impossible_travel_from_last_login') {
    // ...
  }
}

カスタムの全体信頼度スコアのために 評価 を集約する。

各 評価 の詳細にアクセスするには、assessments object を使用し、confidence プロパティ、code プロパティ、またはその両方を利用します。

特定の 評価 が特定の結果を返した場合、現在のトランザクションをブロックしてエラーとメッセージを返す

各 評価 の詳細 (code プロパティを含む) にアクセスするには、assessments object を使用します。

エラーパラメータとして UnauthorizedError オブジェクトを指定してコールバック関数を返すことで、ログイントランザクションが完了しないようブロックできます。UnauthorizedError オブジェクトでは error は常に unauthorized に設定されますが、error_message はカスタマイズできます。

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication || {};
  const { ImpossibleTravel } = riskAssessment && riskAssessment.assessments;

  if (ImpossibleTravel.code === 'impossible_travel_from_last_login') {
    return api.access.deny('Login blocked due to impossible travel detected.')
  }
}

これにより、ユーザーは error と error_message パラメータを含んだ状態で、アプリケーションのコールバック URL にリダイレクトされます。

Auth0 が 評価 の実行に失敗した場合でも安全に処理する

リスク評価の実行中に何らかの障害が発生した場合、Auth0 は自動的に low の信頼度スコアを割り当てます。

この状況に対処するには、assessments object を使用して各 評価 の code プロパティを確認し、値が assessment_not_available に設定されているかどうかを確認します。

​

詳細情報

• Adaptive MFA を有効にする
• Adaptive MFA のログイベント
• Actions トリガー: post-login - API オブジェクト
• Actions トリガー: post-login - イベントオブジェクト