Introduction à Auth0

Décrit les services et les fonctionnalités d’Auth0.

Auth0 est un fournisseur de gestion des identités et des accès (IAM). Mais qu’est-ce que cela signifie ? Si vous avez lu Introduction à la gestion des identités et des accès (IAM), vous savez qu’une solution IAM sert de gardien pour les ressources que vous fournissez à vos clients sous forme d’applications Web, d’API, etc. Ce gardien lance l’autorisation, comme indiqué dans OAuth 2.0. L’ajout de la couche OpenID Connect ajoute l’authentification pour sécuriser les identités numériques de vos utilisateurs et votre produit.

La plateforme d’identité Auth0 prend en charge différents types d’applications et de frameworks. Que votre application soit une application Web classique, une application mobile ou une application de machine à machine, Auth0 fournit la configuration correspondant au mode d’octroi le plus sécuritaire, ou au flux de travail approprié, pour chaque cas. Vous pouvez en apprendre davantage sur les modes d’octroi et choisir celui qui convient à votre application dans notre article Quel flux OAuth 2.0 devrais-je utiliser ?

En plus de prendre en charge des protocoles sécurisés, la plateforme d’identité Auth0 vous permet de personnaliser les services de connexion pour les adapter à votre entreprise, à votre technologie et à votre clientèle. À l’aide du Auth0 Dashboard et de la Management API, vous pouvez créer votre propre instance Auth0 pour authentifier et autoriser vos clients. Vous pouvez configurer les comportements de connexion, connecter votre répertoire d’utilisateurs, gérer ces utilisateurs, choisir un mode d’octroi et établir des facteurs d’authentification afin d’offrir un produit fluide et évolutif avec une expérience utilisateur de qualité.

​

Pour commencer

​

Principes fondamentaux de l’identité

Vous n’avez pas besoin d’être un expert en IAM pour intégrer Auth0 à votre application ou à votre API, mais connaître quelques concepts clés vous aidera à choisir la bonne configuration pour votre cas d’utilisation. Pour en savoir plus, consultez notre article Introduction à la gestion des identités et des accès (IAM). Si vous avez encore des questions sur la planification de votre mise en œuvre, consultez notre section Scénarios d’architecture, qui présente pas à pas des scénarios concrets.

​

Intégrer Auth0

Pour commencer à intégrer Auth0, vous pouvez soit utiliser nos guides de démarrage rapide interactifs pour la configuration initiale et les configurations rapides, soit enregistrer manuellement votre application dans Auth0 Dashboard. Dans Auth0 Dashboard, vous pouvez créer un locataire, c’est-à-dire votre instance Auth0, à partir de zéro. Si vous préférez utiliser des SDK, Auth0 propose plusieurs options pour chaque type d’application. Pour voir l’offre complète, accédez à Auth0 Libraries.

Vous pouvez commencer la configuration en définissant des renseignements généraux dans les paramètres du locataire d’Auth0 Dashboard, comme le nom affiché à vos utilisateurs, le logo de votre entreprise, vos URL de rappel ou l’emplacement vers lequel Auth0 redirige vos utilisateurs après l’authentification. Vous pouvez consulter nos recommandations dans Paramètres du locataire.

Une fois le locataire configuré, vous pouvez créer et configurer votre application ou votre API. Pour commencer, vous pouvez suivre les instructions de nos articles Créer des applications ou Enregistrer des API.

​

Authentification

Le principal moyen d’authentification est le formulaire de connexion, c’est-à-dire l’intermédiaire qui permet à vos utilisateurs d’accéder à votre application. Les utilisateurs saisissent des identifiants prédéterminés, comme un nom d’utilisateur ou un mot de passe, dans le formulaire de connexion pour vérifier leur identité numérique.

Le Universal Login d’Auth0 est un formulaire de connexion que vous pouvez personnaliser pour qu’il reflète votre marque et configurer afin d’offrir un accès sécurisé. Voici quelques avantages de l’utilisation d’Universal Login :

• Connexion Passwordless avec biométrie
• Choix de méthodes d’authentification multifacteur par courriel, par appel vocal ou avec Duo
• Capacités d’authentification unique (SSO)
• Prise en charge de la localisation

Pour en savoir plus, consultez Universal Login. Pour en savoir plus sur les fonctionnalités offertes, consultez Universal Login vs. Classic Login.

Une fois que vous avez un formulaire de connexion, vous pouvez connecter votre répertoire d’utilisateurs à Auth0. Vous pouvez connecter une base de données existante, ou utiliser un fournisseur d’identité social, juridique ou d’entreprise comme X ou Azure Active Directory. Les nouveaux utilisateurs peuvent s’inscrire à l’aide de la connexion que vous avez configurée.

Une fois que vous avez un formulaire de connexion et une connexion à votre répertoire d’utilisateurs, vous pouvez définir les protocoles qui fonctionnent en arrière-plan lorsque les utilisateurs se connectent à votre application. Les protocoles les plus courants sont associés aux spécifications OAuth 2.0 et OpenID Connect (OIDC) que vous avez peut-être consultées dans notre article Identity Fundamentals.

Un autre mécanisme permettant de transmettre de l’information de façon sécurisée pendant la connexion prend la forme de jetons. Les jetons du serveur d’autorisation, l’API d’authentification d’Auth0, transmettent de l’information entre des entités.  Lorsqu’un utilisateur se connecte et que l’accès est approuvé, l’API d’authentification envoie un jeton d’accès, un jeton d’identité, ou les deux selon l’octroi d’authentification que vous utilisez pour créer une session. Les jetons d’accès contiennent de l’information sur les scopes, ou autorisations, dont dispose le demandeur dans votre application, tandis que les jetons d’identité contiennent de l’information sur ce demandeur, comme les métadonnées de l’utilisateur, afin d’améliorer l’expérience utilisateur.

Les jetons de l’API d’authentification sont des JSON Web Tokens (JWT) structurés comme suit :

• un en-tête qui inclut la signature
• la charge utile qui contient des déclarations et des attributs sur le demandeur
• la signature qui vérifie que le jeton est valide

Pour en savoir plus sur les jetons, consultez Access Tokens, ID Tokens, ou JSON Web Tokens.

D’autres protocoles, comme SAML (Security Assertion Markup Language) et WS-Fed (Web Service Federation) sont utilisés avec des systèmes plus spécialisés. SAML est compatible avec certains fournisseurs d’identité, tandis que WS-Fed est utilisé avec les produits Microsoft. Pour en savoir plus, consultez la section Protocoles de notre documentation.

​

Gérer les utilisateurs

La gestion des profils d’utilisateur et des accès peut prendre beaucoup de temps. Si vous choisissez de gérer les utilisateurs avec votre instance Auth0, vous pouvez atténuer certains irritants.

Vous pouvez facilement automatiser les opérations CRUD et interroger les profils d’utilisateur à l’aide d’Auth0 Dashboard ou de la Management API. Vous pouvez regrouper vos utilisateurs par catégorie avec les Organisations Auth0 afin d’organiser votre clientèle selon votre mode de gestion. Pour en savoir plus, consultez la section Gérer les utilisateurs de notre documentation.

Votre modèle d’affaires peut inclure différents niveaux d’accès pour vos utilisateurs. Vous pouvez vouloir qu’un sous-ensemble d’utilisateurs ait des autorisations en lecture seule et qu’un autre puisse effectuer des modifications. Authorization Core d’Auth0 vous permet de mettre en œuvre un contrôle d’accès basé sur les rôles. Vous pouvez créer des rôles, attribuer des rôles aux utilisateurs et définir des autorisations.

Si vous voulez gérer l’accès en fonction du comportement du navigateur, vous pouvez limiter la durée de vie d’une session. Une session, c’est-à-dire l’interaction entre l’entité requérante et votre application ou votre ressource, a une durée de vie limitée. Une session peut se terminer lorsque l’utilisateur ferme le navigateur ou quitte votre page web. Vous pouvez prolonger les sessions avec des jetons d’actualisation qui renouvellent les jetons d’accès. Configurez les jetons d’actualisation dans l’Auth0 Dashboard.  Pour en savoir plus, consultez Limites de durée de vie des sessions et Obtenir des jetons d’actualisation.

Les témoins, ou chaînes de données, sont associés à la session et représentent un utilisateur authentifié. Les témoins permettent à vos utilisateurs authentifiés de maintenir une session et de passer d’une page web à l’autre sans devoir se réauthentifier.  Une fois le navigateur fermé, le témoin est supprimé par le navigateur.

​

Personnaliser

Votre image de marque est importante, et Auth0 offre des options de personnalisation pour adapter l’expérience de connexion à votre entreprise. Vous pouvez ajouter votre logo et votre palette de couleurs à votre formulaire de connexion, ainsi qu’utiliser un domaine personnalisé pour vous approprier l’URL de connexion. Pour en savoir plus sur la configuration, consultez Custom Domains.

Universal Login offre de nombreuses fonctionnalités pour configurer l’authentification selon vos besoins, comme l’authentification multifacteur, l’authentification Passwordless avec biométrie de l’appareil et la localisation. Plus précisément, vous pouvez ajuster le texte des invites que votre utilisateur reçoit lorsqu’une action doit être effectuée. Vous pouvez configurer des invites pour permettre à vos utilisateurs de s’inscrire, d’inscrire un appareil pour l’authentification ou d’envoyer un code par courriel/SMS afin qu’ils le saisissent pour vérification. Vous pouvez également personnaliser les communications par courriel pour accueillir les nouveaux utilisateurs, confirmer l’inscription ou réinitialiser les mots de passe à l’aide de modèles de courriel. Pour en savoir plus, consultez Customize Universal Login Text Elements et Customize Email Templates.

Vous pouvez aussi configurer certains événements avec Auth0 Actions. Les Actions sont des fonctions sécurisées qui s’exécutent au moment de l’exécution. Les Actions se déclenchent à différents points du pipeline et servent à diverses fins. Vous pouvez, par exemple, ajouter des métadonnées avant l’inscription de l’utilisateur ou rediriger des utilisateurs vers un site externe. Pour en savoir plus sur ce que les Actions peuvent faire pour vous, consultez Understand How Auth0 Actions Work.

​

Sécurité

Des attaques malveillantes peuvent survenir à tout moment. Auth0 offre plusieurs options de protection contre les attaques, comme la détection de bots combinée à Google reCAPTCHA Enterprise pour prévenir les cyberattaques. Pour en savoir plus sur la configuration de la détection de bots, consultez Bot Detection.

Même si vous utilisez votre propre page de connexion, Auth0 offre d’autres options de sécurité que vous pouvez activer dans Auth0 Dashboard :

• Détection des mots de passe compromis
• Protection contre la force brute
• Limitation des IP suspectes

La détection des mots de passe compromis est une mesure de sécurité contre les acteurs malveillants qui disposent d’identifiants volés. La protection contre la force brute protège un compte utilisateur ciblé en limitant le nombre de tentatives de connexion, ce qui bloque automatiquement l’adresse IP malveillante et envoie une notification au compte utilisateur visé. La limitation des IP suspectes prend le relais là où la protection contre la force brute s’arrête en bloquant le trafic provenant de toute adresse IP qui tente des inscriptions ou des connexions rapides.

D’autres mesures de sécurité dépendent de la façon dont vous voulez que vos utilisateurs s’authentifient. L’activation de l’authentification multifacteur (MFA) dans Universal Login oblige les utilisateurs à fournir au moins deux facteurs d’authentification. Avec Auth0, vous pouvez configurer le MFA pour qu’il se déclenche dans certaines circonstances, par exemple lorsqu’un utilisateur se connecte à partir d’un appareil inconnu ou d’une adresse IP suspecte. Pour en savoir plus sur la configuration du MFA, consultez Adaptive MFA.

​

Déployer et surveiller

Lorsque vous avez terminé de tester votre instance Auth0 et que vous êtes prêt à la déployer, vous pouvez utiliser nos offres de cloud public ou privé. Pour en savoir plus sur les offres offertes, consultez Options de déploiement. Si vous avez besoin d’un environnement multilocataire, vous pouvez en apprendre davantage sur Private Cloud on AWS.

Pour que votre déploiement se déroule comme prévu, nous fournissons des conseils sous forme de recommandations préalables au déploiement, d’une liste de vérification de déploiement, de pratiques exemplaires, de solutions courantes et d’autres conseils pour rendre le déploiement aussi fluide que possible.

Une fois votre environnement de production en place et prêt pour les utilisateurs, vous pouvez en assurer la surveillance grâce au suivi des erreurs et aux alertes. System Center Operations Manager vous permet d’effectuer cette surveillance, tandis que les journaux d’événements peuvent être exportés vers un outil d’analyse afin de vous donner de la visibilité sur les tendances, le comportement des utilisateurs ou les problèmes.