多要素認証ページをカスタマイズする

Universal Login のブランディングオプションを使って、ユーザーに表示される多要素認証（MFA）ページをカスタマイズする方法を紹介します。

これらのカスタマイズは、独自のユーザーインターフェースを持つ Duo には適用されません。

MFA ページは、Auth0 Dashboard の Universal Login Settings セクションで Universal Login のブランディングオプションを調整することで、ユーザー向けにカスタマイズできます。

Universal Login エクスペリエンスを使用している場合は、そのフローのカスタマイズオプションを使用してページをカスタマイズできます。

HTML コンテンツ全体をカスタマイズして、組織固有のユーザーエクスペリエンス要件を反映させることもできます。詳しくは、MFA Widget Theme Options をご覧ください。

Universal Login エクスペリエンスでは、MFA はさらにシンプルな形でユーザーに表示されます。ログインのために資格情報を入力すると、MFA 画面が表示されます。MFA の認証要素をまだ登録していない場合は登録を求められ、登録済みの場合は MFA の資格情報の提示を求められます。

​

MFA API を使用する

Auth0 では、次のシナリオ向けに MFA API を提供しています。

• リソース所有者パスワードグラントを使用してユーザーを認証する。
• ユーザーが自身の認証要素を管理できるようにする インターフェースを構築する。
• 登録チケット を使用して、ユーザーに MFA への登録を促す。

MFA API を使用するには、アプリケーションで MFA グラントタイプを有効にする必要があります。Auth0 Dashboard で MFA グラントを有効にするには、次の手順に従います。

1. Auth0 Dashboard > アプリケーション > アプリケーション に移動し、対象のアプリケーションを選択します。

2. Settings タブの下部で、Advanced Settings をクリックします。

3. Grant Types タブをクリックし、MFA を選択します。

   

   詳しくは、多要素認証を有効にする を参照してください。

4. Save Changes をクリックします。

​

制限事項

MFA API は、SMS、Guardian アプリケーション内のプッシュ通知、メール、OTP の各認証要素に対応しています。Duo の登録には対応していません。

​

Actions で MFA ポリシーをカスタマイズする

Actions を使用すると、特定のアプリケーションのユーザーや、特定のユーザーメタデータまたは IP 範囲に該当するユーザーに MFA を必須にするなど、テナントの MFA ポリシーをカスタマイズできます。

Actions の作成に慣れていない場合は、Write Your First Action を参照してください。

Actions で定義した MFA 関連の動作は、Auth0 Dashboard の Multi-Factor Auth セクションで設定した Define policy の設定より常に優先されます。

詳しくは、Enable Multi-Factor Authentication を参照してください。

Actions を作成する際は、provider 設定を使って、MFA を強制するかどうかや、使用する認証要素を指定できます。この動作は、クラシックログインと Universal Login エクスペリエンスのどちらを使用するかによって異なります。

Provider	Classic Experience	New Experience
any	Push、SMS、または OTP	Push、SMS、Voice、OTP、Email、または WebAuthN security key (有効な場合)
guardian	Push、SMS、または OTP	Push、SMS、OTP、または Email
google-authenticator	Google Authenticator	Push、SMS、OTP、または Email
duo	Duo	Duo

Universal Login を使用している場合は、MFA ログインページのカスタマイズを有効にすることで、クラシックログイン エクスペリエンスと同じ動作にできます。

guardian と google-authenticator は、後方互換性のために残されているレガシー設定であり、今後は使用しないでください。代わりに any を使用することをお勧めします。google-authenticator オプションでは、ユーザーはリカバリーコードを登録できません。

provider を特定のオプションに設定すると、Auth0 Dashboard の有効/無効トグルよりもその設定が優先されます。次の Action を使用すると、Auth0 Dashboard で他の認証要素が有効になっている場合でも、ユーザーに Duo への登録を求めることができます。

exports.onExecutePostLogin = async (event, api) => {
    // プロバイダーをプログラムでDuoに強制する
    api.multifactor.enable('duo')
}

​

一般的なユースケースの例

以下は、Actions で対応できる、コンテキストに応じた MFA の一般的なシナリオです。

テナントで、MFA が Actions で明示的に要求された場合にのみトリガーされるようにするには、テナントの既定の MFA ポリシーを Never に設定します。

詳しくは、多要素認証の認証要素 の「Policies」セクションをご覧ください。

​

特定のアプリケーションで MFA を必須にする

MFA は、ユーザーが特定のアプリケーションにログインする場合にのみトリガーされるようにカスタマイズできます。

exports.onExecutePostLogin = async (event, api) => {
	const CLIENTS_WITH_MFA = [
		'{yourClientId1}', 
		'{yourClientId2}',
		'{yourClientId3}'
	];

	if (CLIENTS_WITH_MFA.includes(event.client.client_id)) {
		api.multifactor.enable('duo', { allowRememberBrowser: false })
	}
}

​

特定のユーザーに MFA を必須にする

MFA を使用するよう指定されたユーザーに対してのみ MFA がトリガーされるように、設定をカスタマイズできます。

exports.onExecutePostLogin = async (event, api) => {
  if (event.user.user_metadata && event.user.user_metadata.use_mfa) {
    api.multifactor.enable('duo', { allowRememberBrowser: false });
  }
}

​

MFA の要求頻度を変更する

状況によっては、同じブラウザーからログインするたびに毎回 MFA を求めたくない場合があります。allowRememberBrowser プロパティを使用すると、その動作を変更できます。

exports.onExecutePostLogin = async (event, api) => {  
  api.multifactor.enable('any', { allowRememberBrowser: false });
}

プロパティの値に応じて、動作は次のようになります。

Value	Description
true	provider が google-authenticator または duo に設定されている場合、ユーザーは 30 日に 1 回、多要素認証を求められます。provider が guardian に設定されている場合、MFA プロンプトに登録用のチェックボックスが表示され、登録するかどうかをユーザーが選択できます。デフォルトは false です。詳しくは、多要素認証ページのカスタマイズ を参照してください
false	ユーザーは認証のたびに MFA を求められます。

これらの時間設定は、アクティブユーザーに対するものです。ユーザーが 7 日以上アクティブでない場合、cookie は期限切れとなり、次回のログイン試行時に MFA を求められます (allowRememberBrowser が true に設定されていて、前回の MFA プロンプトから 30 日経過していない場合でも同様です) 。

ユーザーが MFA をスキップできるようにすると、ユーザーのブラウザーに cookie が保存されます。ユーザーに cookie が設定されていても MFA を必須にしたい場合は、次の 2 つの方法があります。

• allowRememberBrowser を false に設定する
• /authorize エンドポイントを呼び出す際に、acr_values を http://schemas.openid.net/pape/policies/2007/06/multi-factor に設定する。

ユーザーが信頼済みデバイスを紛失した場合は、Auth0 の Management API Invalidate Remember Browser エンドポイントを呼び出すことで、そのユーザーに次回のログイン時に MFA を求めることができます。

​

ネットワーク外のユーザーに MFA を必須にする

指定した内部 IP アドレスのネットワークへのアクセスが適切に管理されていることを前提に、Auth0 では、社内ネットワークの外部からリクエストを送信したユーザーに対してのみ MFA を要求することもできます。

exports.onExecutePostLogin = async (event, api) => {
  const ipaddr = require('ipaddr.js@1.9.0');
  const corp_network = '192.168.1.134/26';
  const current_ip = ipaddr.parse(event.request.ip);

  if (!current_ip.match(ipaddr.parseCIDR(corp_network))) {
    api.multifactor.enable('any', {allowRememberBrowser: false});
  }
}

​

リフレッシュトークンのリクエストではMFAを回避する

ユーザーから頻繁にログアウトされるという報告がある場合は、MFAを使用している際にリフレッシュトークンのリクエストではMFAを回避する必要があるかもしれません。event.transaction.protocol オブジェクトプロパティに対するフィルター Action を使って、既定の動作を変更できます。

exports.onExecutePostLogin = async (event, api) => {
  if (event.transaction.protocol !== 'oauth2-refresh-token') {
    // MFA関連のコマンドをここに記述
    api.multifactor.enable('any');
  }
};

Action event オブジェクトの詳細については、Actions Triggers: post-login - Event Objectを参照してください。

​

詳しくはこちら

• クラシックログイン向けに MFA をカスタマイズする
• MFA でリソース所有者パスワードフローを使用して認証する
• Auth0 MFA API
• Authentication API を使用して認証要素を管理する
• MFA Widget のテーマオプション
• MFA テーマの Language Dictionary