Passer au contenu principal
Vous pouvez activer le Contrôle d’accès basé sur les rôles (RBAC) dans l’ ou à l’aide de la . Cela active l’ensemble de fonctionnalités Authorization Core pour l’API. Lorsque RBAC est activé, la revendication scope du contient l’intersection des permissions demandées et de celles attribuées à l’utilisateur, que des permissions soient ou non également incluses dans le jeton d’accès. Lorsque RBAC est désactivé, une application peut demander n’importe quelle permission définie pour l’API, et la revendication scope contient toutes les permissions demandées.
Si vous configurez des Actions qui modifient les scopes du jeton d’accès, elles remplaceront les scopes définis par RBAC.

​
Auth0 Dashboard

  1. Accédez à Auth0 Dashboard > Applications > APIs et cliquez sur le nom de l’API à consulter.
    Liste des API dans Applications de l’Auth0 Dashboard
  2. Faites défiler jusqu’à RBAC Settings et activez le bouton bascule Enable RBAC.
    Bouton bascule RBAC dans les paramètres d’API de l’Auth0 Dashboard
  3. Pour inclure toutes les permissions attribuées à l’utilisateur dans la revendication permissions du jeton d’accès, activez le bouton bascule Add Permissions in the Access Token, puis cliquez sur Save. Inclure les permissions dans le jeton d’accès vous permet de limiter au minimum les appels nécessaires pour les récupérer, mais augmente la taille du jeton. Une fois le bouton bascule Add Permissions in the Access Token activé, Auth0 met également à jour votre dialecte de jeton selon le profil de jeton d’accès que vous avez défini pour l’API :
    • Si votre dialecte de jeton est access_token, Auth0 le met à jour vers access_token_authz, ce qui équivaut au profil access_token avec la revendication permissions incluse.
    • Si votre dialecte de jeton est rfc9068_profile, Auth0 le met à jour vers rfc9068_profile_authz, ce qui équivaut au profil rfc9068_profile avec la revendication permissions incluse.
    Pour en savoir plus sur les dialectes de jeton disponibles, consultez Options de dialecte de jeton.

​
Management API

Pour activer le RBAC à l’aide de la Management API, envoyez une requête PATCH au point de terminaison de mise à jour d’un serveur de ressources. Dans la requête PATCH, définissez enforce_policies à true : Remplacez API_ID, MGMT_API_ACCESS_TOKEN et TOKEN_DIALECT par leurs valeurs respectives, comme indiqué dans le tableau suivant :
ParamètreDescription
API_IDid de l’API pour laquelle vous voulez activer le RBAC.
MGMT_API_ACCESS_TOKENJeton d’accès pour la Management API avec le scope update:resource_servers.
TOKEN_DIALECTDialecte du jeton d’accès pour l’API indiquée. Pour en savoir plus, consultez les options de dialecte de jeton.

​
Options de dialecte de jeton

Auth0 prend en charge les dialectes de jeton suivants :
ValeurDescription
access_tokenLe profil de jeton par défaut d’Auth0 génère un jeton d’accès au format JSON Web Token (JWT). Dans la revendication scope du jeton d’accès, il inclut l’intersection des permissions demandées et de celles attribuées à l’utilisateur. Aucune revendication permissions n’est transmise. Pour en savoir plus, consultez Profils de jeton d’accès.
access_token_authzLe profil de jeton par défaut d’Auth0 (access_token) avec la revendication permissions. Dans la revendication scope du jeton d’accès, il inclut l’intersection des permissions demandées et de celles attribuées à l’utilisateur. Dans la revendication permissions du jeton d’accès, il inclut toutes les permissions attribuées à l’utilisateur. Permet de réduire au minimum les appels nécessaires pour récupérer les permissions, mais augmente la taille du jeton.
rfc9068_profileLe profil de jeton RFC 9068 génère un jeton d’accès au format JWT conformément au profil JWT de l’IETF pour les jetons d’accès OAuth 2.0 (RFC 9068). Dans la revendication scope du jeton d’accès, il inclut l’intersection des permissions demandées et de celles attribuées à l’utilisateur. Aucune revendication permissions n’est transmise. Pour en savoir plus, consultez Profils de jeton d’accès.
rfc9068_profile_authzLe profil de jeton RFC 9068 (rfc9068_profile) avec la revendication permissions. Dans la revendication scope du jeton d’accès, il inclut l’intersection des permissions demandées et de celles attribuées à l’utilisateur. Dans la revendication permissions du jeton d’accès, il inclut toutes les permissions attribuées à l’utilisateur. Permet de réduire au minimum les appels nécessaires pour récupérer les permissions, mais augmente la taille du jeton.

​
En savoir plus