Skip to main content
WebAuthn の概要と、Auth0 が Security Keys と Device Biometrics の両方でこれをどのように実装しているかについては、FIDO Authentication with WebAuthn を参照してください。

利用可否は Auth0 のプランによって異なります

この機能を利用できるかどうかは、ログインの実装方法と、Auth0 のプランまたは個別契約の内容によって異なります。詳しくは、Pricing を参照してください。
カスタムドメインを設定する必要がある場合は、本番環境で WebAuthn を展開する前に設定してください。カスタムドメインを設定または変更すると、以前に登録したユーザーは認証できなくなります。ユーザーの認証に使用するドメインは、Relying Party 設定で指定できます。

​
Auth0 Dashboard を使用する

Auth0 Dashboard > Security > Multifactor Auth に移動し、WebAuthn with Device Biometrics を有効にします。これのみを唯一の認証要素として有効にすることはできないため、追加の認証要素も有効にする必要があります。

​
Relying Party を設定する

WebAuthn では、認証情報がブラウザーのオリジンに紐づけられるため、フィッシングは成立しません。ユーザーは、登録していないサイトでは WebAuthn を使用できません。 認証情報をオリジンに紐づけるということは、 を設定または変更すると、その変更前に登録したユーザーは認証できなくなることを意味します。 WebAuthn では、ユーザーの認証に使用するドメインを指定できる Relying Party ID 属性 が定義されています。これは、ブラウザーのオリジンに対する登録可能な任意のドメインサフィックスに設定できます。たとえば、カスタムドメインが login.example.com の場合、 ID を example.com に設定できます。これにより、ユーザーは WebAuthn の認証情報を使って任意の example.com ドメインで認証できるようになります。 Auth0 では、カスタムドメインが設定されている場合にのみ Relying Party ID を指定できます。カスタムドメインが変更された場合は、Relying Party ID も更新する必要があります。

​
デバイス認識

WebAuthn を Device Biometrics とともに有効にすると、Auth0 はエンドユーザーの WebAuthn 対応デバイスをすべて順次登録しようとします。Javascript が無効になっているブラウザーや、WebAuthn のプラットフォーム認証器をサポートしていないブラウザーでは、Device Biometrics を登録したり、それを使って認証したりするためのオプションは表示されません。 特定のデバイスが登録済みかどうかを、WebAuthn でユーザーに認証を求めずに確実に把握する方法はないため、Auth0 は適切な動作を判断するためにユーザーエージェントに依存しています。この挙動はオペレーティングシステムによって異なります。
最も一般的なケース、つまりユーザーが常に同じブラウザーを使い、モバイル端末 1 台とノート PC またはデスクトップ PC 1 台を利用している場合は、以下で説明する挙動の違いがユーザーエクスペリエンスに影響することはありません。

​
Windows と iOS 14.5+

Windows と iOS 14.5+ では、WebAuthn のプラットフォーム認証器はオペレーティング システム レベルで登録されます。ユーザーは 1 つのブラウザーで登録すれば、どのブラウザーからでもログインできます。Auth0 がユーザーに登録済みのデバイスがあることを検出すると、Face ID / Touch ID / Windows Hello を使って認証するオプションが表示されます。同じデバイスで登録していれば認証できます。そうでない場合は認証に失敗するため、別の認証方法を使用する必要があります。

​
macOS

Mac では、WebAuthn のプラットフォーム認証器は ブラウザー レベルで登録されます。Auth0 は、ユーザーに、使用するブラウザーごとに WebAuthn への登録を求めます。Auth0 がユーザーが Mac 上の Chrome から登録済みであることを検出すると、そのユーザーが Mac 上の Chrome からログインする際に、Touch ID で認証するオプションが表示されます。同じ Mac で登録していれば認証できます。そうでない場合は認証に失敗するため、別の認証方法を使用する必要があります。同じ Mac の Safari から登録しようとすると、Auth0 はまず別の認証方法で を完了するよう求められ、その後 Touch ID への登録を求められます。

​
Android

Android では、WebAuthn のプラットフォーム認証器をサポートしているのは Chrome のみ です。Auth0 が、ユーザーに登録済みの Android デバイスがあることを検出すると、Android の指紋認証／顔認証で認証するオプションが表示されます。同じ Android デバイスで登録していれば認証できます。そうでない場合は認証に失敗するため、別の認証方法を使用する必要があります。

​
デバイスのサポート

Device Biometricsを使用する前に、ユーザーは別のMFA認証要素を登録して有効化しておく必要があります。 Device Biometricsキーを使用するには、ブラウザーでJavaScriptが有効になっており、WebAuthnプラットフォーム認証器に対応している必要があります。これらの条件を満たしていない場合、Auth0はそのデバイスを使った登録または認証のオプションを提示しません。代わりに、別の認証要素による認証を求めます。 一般的なブラウザーやオペレーティングシステムの最新バージョンは、WebAuthn with Security Keysに対応しています。詳細については、webauthn.meのブラウザーサポートセクションをお読みください。

​
制限事項

  • 段階的登録のプロンプト以外では、WebAuthn のDevice Biometricsを登録する方法はありません。
  • MFA API を使用すると、WebAuthn の登録の一覧表示と削除はできますが、登録はできません。
  • Device Biometrics を使用する WebAuthn では、ユーザーは種類ごとに 1 台のデバイスしか登録できません (スマートフォン 1 台、タブレット 1 台、ノート PC / デスクトップ 1 台) 。ユーザーが同じ種類の別のデバイスを登録したい場合は、最初のデバイスの登録を解除する必要があります。

​
Webauthn.me

Auth0 は webauthn.me を運営しており、WebAuthn に関する詳細情報や、WebAuthn をサポートしているブラウザーの最新一覧を確認できます。

​
詳しくはこちら