リフレッシュトークンを使用する

認可時に受け取ったリフレッシュトークンの使用方法について説明します。

リフレッシュトークン は、ユーザーに再認証を求めることなく、新しい アクセストークン や IDトークン を新たに要求するために使用されます。

通常、新しいアクセストークンは、サービスの中断を避けるため、前のアクセストークンの有効期限が切れる前に要求するべきです。ただし、トークン交換は レート制限ポリシー の対象となるため、API を呼び出すたびに要求するべきではありません。

また、リフレッシュトークンを使用して、ユーザーの新しい IDトークン を要求することもできます。IDトークン 内のクレームを更新する必要がある場合は、そのようにしてください。

​

API を呼び出す

認証時に受け取ったリフレッシュトークンを新しいアクセストークンに交換するには、Authentication API の Auth0 Authentication API にある Get token endpoint を呼び出します。

Authentication API で利用できる認証方法について詳しくは、Authentication Methods を参照してください。

​

Basic認証を使用する

​

Post authenticationを使用する

​

パラメーターの定義

Parameter	Description
grant_type	実行するグラントの種類。
client_id	アプリケーションのClient ID。
client_secret	(任意) アプリケーションのクライアントシークレット。Post token authentication method を使用する機密アプリケーションでのみ必要です。
refresh_token	引き換えに使用するリフレッシュトークン。

レスポンスには、新しいアクセストークン、その種類、有効期間 (秒単位) 、および付与されたスコープが含まれます。初期トークンのスコープにopenidが含まれていた場合は、新しいIDトークンもレスポンスに含まれます。

{
      "access_token": "eyJ...MoQ",
      "expires_in": 86400,
      "scope": "openid offline_access",
      "id_token": "eyJ...0NE",
      "token_type": "Bearer"
    }

​

MFAをスキップする

多要素認証 (MFA) が有効で、リフレッシュトークン交換フローが失敗した場合は、以下の Action コードを使用して MFA のロジックをスキップできます:

exports.onExecutePostLogin = async (event, api) => {
  // このActionを使用すると、リフレッシュトークン交換フローのMFAロジックをバイパスできます。

  if (event.transaction.protocol === "oauth2-refresh-token") {
    return;
  }

  //  MFAロジックを追加してください
  //  例: api.multifactor.enable("any");
};

現在のフローまたはプロトコルに応じて、別のロジックを実行するかスキップする必要がある場合は、コード例をカスタマイズできます。

​

MFA をカスタマイズ

リソース所有者パスワードグラント、埋め込み、またはリフレッシュトークンフローで利用するカスタマイズ可能な MFA は、早期アクセス段階の機能です。この機能を使用すると、Okta の Master Subscription Agreement に記載されている該当する無料トライアル条件に同意したものとみなされます。Auth0 のリリースステージの詳細については、Product Release Stages をご覧ください。早期アクセスへの参加をご希望の場合は、Auth0 Support までお問い合わせください。

カスタマイズ可能な MFA を使用すると、ユーザーはアプリケーションでサポートされている認証要素の中から任意のものを選んで登録し、チャレンジに使用できます。

oauth/token エンドポイントでの認証時には、レスポンスとして、MFA API で使用する mfa_token を含む mfa_required エラーと、認証器の一覧を含む mfa_requirements パラメーターが返されます。

{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
      { "type": "email"} //challengeでのみ使用可能
    ]
  }
}

mfa_token を使用して mfa/authenticator エンドポイントを呼び出し、ユーザーが登録済みのすべての認証要素の一覧を取得して、その中からアプリケーションがサポートする種類と一致するものを特定します。 また、チャレンジを発行するには、対応する authenticator_type も取得する必要があります:

[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]

request/mfa/challenge エンドポイントを呼び出して、MFAチャレンジを必須にします。

Auth0 Actions を使用すると、MFAフローをさらにカスタマイズできます。詳しくは、Actions Triggers: post-challenge - API Object を参照してください。

​

詳細

• リフレッシュトークンを取得する
• リフレッシュトークンを失効させる
• リフレッシュトークンの有効期限を設定する
• Lock.Android: JSON Web Token を更新する