アクセストークンプロファイル - Auth0 Docs

プロファイルは、API 用に発行されるアクセストークンの形式とクレームを定義します。Auth0 は、トークンダイアレクトとも呼ばれる、次のアクセストークンプロファイルをサポートしています。

Auth0 トークンプロファイル、またはデフォルトのアクセストークンプロファイル
RFC 9068 トークンプロファイル、または IETF JWT Profile for OAuth 2.0 Access Tokens (RFC 9068) に準拠したアクセストークンプロファイル

Token Profile	Description	Token Dialect
Auth0 token profile	デフォルトのトークンプロファイルです。JSON Web Token (JWT) 形式のアクセストークンを発行します。	Auth0 トークンプロファイルには、次の 2 つのトークンダイアレクトがあります。 `access_token` `access_token_authz` (`permissions` クレームを含む `access_token` プロファイル)
RFC 9068 token profile	JWT 形式の OAuth 2.0 アクセストークンをエンコードするための IETF 標準に準拠した、JSON Web Token (JWT) 形式のアクセストークンを発行します。	RFC 9068 トークンプロファイルには、次の 2 つのトークンダイアレクトがあります。 `rfc9068_profile` `rfc9068_profile_authz` (`permissions` クレームを含む `rfc9068_profile` プロファイル)

どちらのアクセストークンプロファイルでもが発行されますが、その JWT はトークン形式が異なります。また、どちらのアクセストークンプロファイルでもロールベースのアクセス制御 (RBAC) を有効にし、アクセストークンに permissions クレームを追加できます。 API のアクセストークンプロファイルを設定するには、アクセストークンプロファイルを設定するを参照してください。

Auth0プロファイルのサンプルトークン

{
  "iss": "https://my-domain.auth0.com/",
  "sub": "auth0|123456",
  "aud": [
    "https://example.com/health-api",
    "https://my-domain.auth0.com/userinfo"
  ],
  "azp": "my_client_id",
  "exp": 1311281970,
  "iat": 1311280970,
  "scope": "openid profile read:patients read:admin",
  "my_custom_claim": "my_custom_value"
}

RFC 9068プロファイルのサンプルトークン

{
  "iss": "https://my-domain.auth0.com/",
  "sub": "auth0|123456",
  "aud": [
    "https://example.com/health-api",
    "https://my-domain.auth0.com/userinfo"
  ],
  "client_id": "my_client_id",
  "exp": 1311281970,
  "iat": 1311280970,
  "jti":"73WakrfVbNJBaAmhQtEeDv",
  "scope": "openid profile read:patients read:admin",
  "my_custom_claim": "my_custom_value"
}

トークンプロファイルの違い

Auth0プロファイルとRFC 9068プロファイルでは、異なるトークン形式のJWTが発行されます。主な違いは次のとおりです。

RFC 9068プロファイルにはjtiクレームが含まれており、JWTに一意の識別子を付与します。
Auth0プロファイルではを表すためにazpクレームを使用します。一方、RFC 9068プロファイルではclient_idクレームを使用します。
RFC 9068プロファイルではgtyクレームは使用されません。これは認証フローを表す、Auth0固有のクレームです。

データ	RFC 9068 プロファイル	Auth0 プロファイル
`type`	`at+jwt`	`JWT`
`alg`	署名アルゴリズム (例: `RS256`)	署名アルゴリズム (例: `RS256`)

クレーム

テナントで Agents as Principal が有効になっており、API でエージェントの subject クレームが有効になっている場合、アクセストークンには追加のアイデンティティクレーム (sub_profile、client_profile、act) と変更された sub 値が含まれることがあります。これらのクレームはアクセストークンにのみ追加され、ID トークンには影響しません。詳しくは、トークン内のエージェントアイデンティティを参照してください。

クレーム	説明	RFC 9068 プロファイルに含まれる	Auth0 プロファイルに含まれる	クレームの例
`iss`	access token を発行する Auth0 テナントの発行者識別子。	あり	はい	テナントドメイン: `https://tenant.auth0.com/`
`sub`	subject クレームは、そのアクセストークンがどのユーザーまたはアプリケーション向けに発行されたものかを示します: - エンドユーザーが関与するグラント (例: 認可コードフロー) の場合、`sub` クレームは `user_id` です。 - Client Credentials を使用する Machine-to-Machine アプリ (エンドユーザーなし) の場合、`sub` クレームはそのアプリの一意の識別子です。 - クライアントがエージェントにリンクされている client credentials グラントの場合、`sub` クレームはエージェントの `agent_id`、または作成時に設定されている場合は `external_agent_id` です。この場合、またはエージェント subject クレームが有効な API 上の非エージェント Machine-to-Machine アプリの場合、`@clients` サフィックスは追加されません。詳細はAgents as Principalを参照してください。	はい	はい	* ユーザー ID: `auth0\|6553da60a54af58e29493993` - サフィックス付きのクライアント ID: `awZfdIir8YFdGZWkvCejDoUb7SjTDicx@clients` - Agent ID: `agt_72jbvv7LfRKYp59gtRLtkn`
`aud`	aud クレームは、アクセストークンの想定された受信先を定義します。	はい	はい	`"https://test-server/api"` or `[ "https://test-server/api", "https://test.local.dev.auth0.com/userinfo" ]`
`client_id`	access tokenをリクエストするアプリケーションのClient ID。	はい	いいえ	Client ID: `K1AUPhZq8mRi0Q0pjhkfu1D7y6KjDQja`
`azp`	access token を要求するアプリケーションの Client ID。	いいえ	はい	Client ID: `K1AUPhZq8mRi0Q0pjhkfu1D7y6KjDQja`
`exp`	この時刻以降は access token を受け入れてはならない、有効期限の時刻。	はい	はい	エポックタイムスタンプ: `1516238022`
`iat`	access token が発行された時点のタイムスタンプです。	はい	はい	UNIXタイムスタンプ: `1516239022`
`scope`	発行されたアクセストークンに付与されたスコープ。スコープを参照してください。	はい	はい	`"openid profile offline_access"`
`jti`	access token の一意の識別子。	はい	いいえ	一意の文字列識別子: `aBv9njtYfwL4xfPZyEwz9m`
`gty`	グラントタイプ。アクセストークンをリクエストする際に使用されます。`client-credentials`、`password`、および `refresh_token` の場合にのみ含まれます。	いいえ	条件による	グラントタイプ: `password`, `client-credentials`
`permissions`	ロールに応じて利用可能な権限。Enable RBAC と Add permissions in the Access Token が有効になっている場合に含まれます。API 向け RBACを参照してください。	条件による	条件による	`[ "create:bar", "create:foo", "read:bar", "read:foo" ]`
`org_id`	組織 ID。ユーザーが組織を通じて認証された場合に追加されます。トークンと組織を参照してください。	条件に応じて異なる	条件に応じて異なる	組織 ID: `org_9ybsU1dN2dKfDkBi`
`org_name`	組織名。ユーザーが組織経由で認証された際に追加され、Authentication API における Organization Names が有効な場合に含まれます。詳細は組織名を使用するを参照してください。	条件に応じて異なる	条件に応じて異なる	組織名: `my_organization`
`authorization_details`	Rich Authorization Requests (RAR) で使用される認可の詳細です。詳細はRARを参照してください。	ユースケースによる	ユースケースによる	`{ "type": "money_transfer", "instructedAmount": {"amount": 2500, "currency": "USD"}, "destinationAccount": "xxxx9876", "beneficiary": "Hanna Herwitz" }`
`cnf`	mTLS Token Binding の確認クレーム。	ケースにより異なる	ケースにより異なる	`{"x5t#S256":"A4DtL2JmUMhAsvJj5tKyn64SqzmuXbMrJa0n761y5v0"}`
`sub_profile`	subject のエンティティタイプ。リソースサーバーで `agent_subject_claims: 'auth0-v1'` が有効になっており、エージェントにリンクされたクライアントが関与している場合に発行されます。Agents as Principalを参照してください。値: `user`、`ai_agent`、`service`、`browser_app`、`native_app`。	ケースにより異なる	ケースにより異なる	`"ai_agent"`
`client_profile`	リクエスト元クライアントのエンティティタイプ。`sub_profile` と同じ条件で発行されます。スペース区切りで複数の値を指定できます。Agents as Principalを参照してください。	ケースにより異なる	ケースにより異なる	`"service ai_agent"`
`act`	RFC 8693 に準拠するアクタークレーム。エージェントにリンクされたクライアントがトークン交換または標準のログインフローに関与する場合に含まれます。`sub`、`sub_profile`、`client_id`、`client_profile`、および複数ホップの委譲チェーン用に任意でネストされた `act` を含みます。エージェントがユーザーに代わって動作する場合、エージェントが最も外側のアクターとなり、それ以前の委譲チェーンはネストされた `act` として保持されます。Agents as Principal および `act` クレームを参照してください。	ケースにより異なる	ケース固有	`{"sub": "agt_1a2b3c", "sub_profile": "ai_agent", "client_id": "agent-client-id"}`
カスタムクレーム	カスタムクレームは、Actions を使用して追加できます。詳しくは、カスタムクレームの作成を参照してください。	ケースにより異なる	ケースにより異なる	`"favorite_color": "blue"`