Configurer les requêtes d’autorisation sécurisées par JWT (JAR)

Découvrez comment configurer les requêtes d’autorisation sécurisées par JWT (JAR) pour une application.

Pour utiliser les fonctionnalités de Highly Regulated Identity, vous devez avoir un forfait Enterprise avec le module complémentaire Highly Regulated Identity. Consultez la tarification d’Auth0 pour en savoir plus.

JWT-Secured Authorization Requests (JAR) permettent de regrouper les paramètres d’une demande d’autorisation OAuth2 dans un seul paramètre de requête JWT, qui est ensuite signé afin d’en garantir l’intégrité.

​

Prérequis

Avant de configurer votre application pour utiliser JAR, vous devez générer une paire de clés RSA.

Vous devriez générer une paire de clés distincte pour chaque type d’utilisation des informations d’identification. Par exemple, ne réutilisez pas la même paire de clés à la fois pour JAR et pour l’authentification par clé privée JWT.

​

Configurer JAR pour une application

Vous pouvez configurer JAR pour une application à l’aide du tableau de bord Auth0 et de l’API de gestion.

Tableau de bord Auth0

Utilisez le tableau de bord Auth0 pour configurer votre application afin qu’elle utilise JAR avec des clés RSA générées au préalable.

1. Accédez à tableau de bord Auth0 > Applications.

2. Sélectionnez l’application que vous souhaitez utiliser avec JAR.

3. Sélectionnez l’onglet Application Settings.

4. Dans la section Authorization Requests, activez Require JWT-Secured Authorization Requests.

5. Si aucune information d’identification n’est attribuée et que des informations d’identification sont disponibles, vous serez invité à attribuer une information d’identification existante.

   

6. Vous aurez aussi la possibilité d’attribuer une nouvelle information d’identification.

   

7. Ajoutez et attribuez une nouvelle information d’identification en téléversant une paire de clés RSA générée au préalable. Lorsque vous y êtes invité, saisissez ce qui suit :

   • Name : un nom pour identifier l’information d’identification
   • Public Key : la clé publique du certificat X.509 au format PEM
   • Algorithm : sélectionnez l’algorithme de signature JAR
   • Expiration Date : définissez la date d’expiration de l’information d’identification

API de gestion

Utilisez l’API de gestion pour configurer JAR pour votre application à l’aide de la propriété de configuration client signed_request_object. Cette propriété d’objet contient les champs suivants :

• required : oblige toutes les demandes d’autorisation vers /authorize et /oauth/par à utiliser JAR. Pour en savoir plus, consultez flux de code d’autorisation avec des requêtes d’autorisation sécurisées par JWT.
• credentials : un tableau d’ID d’informations d’identification utilisés pour vérifier les signatures.

Le paramètre credentials se comporte de façon similaire au paramètre Private Key JWT client_authentication_methods.private_key_jwt.credentials, qui prend en charge la création d’informations d’identification lorsque vous créez une nouvelle application. Pour en savoir plus, consultez Configure Private Key JWT.

Vous pouvez configurer JAR pour une nouvelle application ou une application existante au moyen de l’API de gestion.

​

Configurer JAR pour une nouvelle application

Lorsque vous créez une nouvelle application, configurez JAR en envoyant une requête POST avec signed_request_object. Dans cette requête POST, vous pouvez aussi enregistrer l’information d’identification client correspondante (c.-à-d. la clé PEM) :

POST https://{yourTenant}.auth0.com/api/v2/clients
Authorization: Bearer <YOUR_ACCESS_TOKEN>
Content-Type: application/json
{
  "name": "My App using JAR",
  "signed_request_object": {
      "required": true,
"credentials": [{
        "name": "My credential for JAR",
        "credential_type": "public_key",
        "pem": "[YOUR PEM FILE CONTENT]",
        "alg": "RS256"
}]
  },
  "jwt_configuration": {
    "alg": "RS256"
  }
}

​

Configurer JAR pour une application existante

Lors de la mise à jour d’une application existante, vous devez d’abord créer explicitement une information d’identification client. La requête POST suivante utilise le contenu de votre fichier PEM pour créer vos informations d’identification client pour JAR :

Assurez-vous que les sauts de ligne sont correctement encodés en JSON, sans mise en forme supplémentaire.

Ensuite, attribuez l’information d’identification client à la configuration client signed_request_object. La requête PATCH suivante associe vos informations d’identification client à signed_request_object :

​

En savoir plus

• Flux de code d’autorisation avec des requêtes d’autorisation sécurisées par JWT (JAR)