JSON Web Encryption - Auth0 Docs

JSON Web Encryption (JWE) は、JSON を使用して暗号化されたコンテンツを表現するための IETF 標準です。Auth0 では、JWE 形式を使用して、内の情報を暗号化するよう API を設定できます。 JWE を使用すると、Auth0 は JSON Web Signature (JWS) で署名された一連のクレームを含むアクセストークンを生成します。次に、この JWT アクセストークンは JWE を使用して暗号化され、JWE Compact 形式でシリアライズされます。これにより、署名による完全性保護を確保しつつ、アクセストークンのクレームに含まれるデータの機密性を維持できます。

アクセストークンを生成して検証する

各 API に JWE を設定する。apiIdentifier が JWE を使用するように設定されていることを前提に、このコードサンプルでは、machine-to-machine (M2M) アプリケーションでクライアントクレデンシャルグラントを使用して、暗号化されたアクセストークンをリクエストします。JWE は、Auth0 がサポートするすべてのグラントタイプで利用できます。

curl -X POST --location "https://{domain}/oauth/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "client_id={clientId}&client_secret={clientSecret}&audience={apiIdentifier}&grant_type=client_credentials"

正常なレスポンスには、暗号化されたアクセストークンが含まれます。

{
  "access_token": "eyJ…XAw",
  "expires_in": 86400,
  "token_type": "Bearer"
}

アクセストークンが使用される場合、は JWE トークンを復号して検証する必要があります。 JWE トークンのヘッダーには、暗号アルゴリズム (alg) 、コンテンツ暗号化アルゴリズム (enc) 、および API を設定する際に指定されている場合はペイロードの暗号化に使用されたキー ID (kid) について説明するメタデータが含まれています。

{
  …
  "alg": "A256GCM",
  "enc": "RSA-OAEP-256",
  "kid": "my-kid"
}

この情報を使用すると、resource server は JWE トークンを復号できるはずです。結果として通常の署名付き JWT が得られ、Auth0 の tenant keys を使用して検証できます。 API で JWE を設定する方法については、JSON Web Encryption を設定するをご覧ください。

詳細

JSON Web Encryption (JWE) の設定