認証
ユーザー管理
カスタマイズ
Auth0 AI
プラットフォーム概要
Key Concepts
- 手順に従って、Azure AD にアプリケーションを登録し、Auth0 インスタンスに接続します。
- 設定を本番環境に反映する前に、接続をテストします。
- トラブルシューティングのヒントを確認します。
- 自社のユーザーが、あなたまたは組織が管理する Azure AD からアプリケーションを利用できます。
- 他社の Azure AD のユーザーもアプリケーションを利用できます。 (外部ディレクトリは別個の接続として設定することをおすすめします。)
Azure AD エンタープライズ接続から返されるクレームは固定されているため、カスタムクレームやオプション クレームはユーザープロファイルに表示されません。ユーザープロファイルにカスタムクレームまたはオプション クレームを含める必要がある場合は、代わりに SAML または OIDC 接続を使用してください。
手順
Azure AD にアプリを登録する
| Option | Setting |
|---|---|
| Supported account types | このディレクトリからの SCIM ベースのユーザープロビジョニングを有効にするには、Accounts in this organizational directory only (Single tenant) を選択します。外部の組織 (他の Azure AD ディレクトリなど) のユーザーも許可する場合は、適切なマルチテナント オプションを選択します。マルチテナント オプションには、Accounts in any organizational directory (Any Azure AD directory - Multitenant) があります。 |
| Redirect URI | Web を Redirect URI の種類として選択し、コールバック URL https://{yourDomain}/login/callback を入力します。 |
リダイレクト用の Auth0 ドメイン名を確認する
上記に Auth0 のドメイン名が表示されておらず、custom domains 機能を使用していない場合、ドメイン名はテナント名、リージョンのサブドメイン、
auth0.com をドット (.) で連結したものになります。たとえば、テナント名が exampleco-enterprises で、テナントが米国リージョンにある場合、Auth0 のドメイン名は exampleco-enterprises.us.auth0.com となり、Redirect URI は https://exampleco-enterprises.us.auth0.com/login/callback になります。ただし、テナントが米国リージョンにあり、2020 年 6 月より前に作成されている場合、Auth0 のドメイン名は exampleco-enterprises.auth0.com となり、Redirect URI は https://exampleco-enterprises.auth0.com/login/callback になります。custom domains を使用している場合、Redirect URI は https://<YOUR CUSTOM DOMAIN>/login/callback になります。クライアントシークレットを作成する
有効期限のあるシークレットを設定する場合は、有効期限を記録しておいてください。サービスの中断を避けるため、その日までにシークレットを更新する必要があります。
権限を追加する
| 委任された権限 | 説明 |
|---|---|
| Users > User.Read | アプリでユーザーがサインインし、サインイン中のユーザーのプロファイルを読み取れるようにします。 |
| Directory > Directory.Read.All | アプリがサインイン中のユーザーに代わってディレクトリ データを読み取れるようにします。 |
Auth0 でエンタープライズ接続を作成する
-
Auth0 Dashboard > Authentication > Enterprise に移動し、Microsoft Azure AD を見つけて
+を選択します。
- 接続の詳細を入力し、Create を選択します。
| Field | Description |
|---|---|
| Connection name | 接続の論理識別子です。テナント内で一意である必要があります。設定後、この名前は変更できません。 |
| Microsoft Azure AD Domain | Azure AD のドメイン名です。Microsoft Azure ポータルの Azure AD ディレクトリの概要ページで確認できます。 |
| Client ID | 登録済み Azure AD アプリケーションの一意識別子です。Azure AD に登録したアプリの Application (client) ID の保存済みの値を入力します。 |
| クライアントシークレット | 登録済み Azure AD アプリケーションへのアクセスに使用する文字列です。Azure AD に登録したアプリの クライアントシークレット の保存済みの値を入力します。 |
| User ID Attribute Type | Auth0 の user_id プロパティにマッピングされる IDトークン内の属性です。選択肢は、Microsoft のドキュメントで説明されている、サポートされている 2 種類の ID タイプに対応しています: ID token claims reference - Microsoft identity platform。 |
| Use common endpoint | (任意) 有効にすると、アプリケーションは新しいディレクトリのユーザーを動的に受け入れられるようになります。通常は、Azure AD に登録したアプリケーションのサポートされるアカウントの種類としてマルチテナント オプションを選択した場合に有効にします。Auth0 はユーザーを Azure の共通ログイン エンドポイントにリダイレクトし、Azure はユーザーのメールアドレスのドメインに基づいて Home Realm Discovery を実行します。 |
| Identity API | Auth0 が Azure AD エンドポイントとやり取りするために使用する API です。動作の違いについては、Microsoft の Why update to Microsoft identity platform (v2.0) ドキュメントを参照してください。 |
| Attributes | サインインしたユーザーについて、アプリがアクセスできる基本属性です。Auth0 のユーザープロファイルに保存する情報量を示します。 |
| Extended Attributes (optional) | サインインしたユーザーについて、アプリがアクセスできる拡張属性です。 |
| Auth0 APIs (optional) | 選択すると、Azure AD API を呼び出す機能が必要であることを示します。これにより、ユーザーが一度も Auth0 にログインしていなくても、Azure AD Graph でユーザーを検索できます。 |
| Email Verification | Auth0 がユーザープロファイルの email_verified フィールドをどのように設定するかを選択します。詳細については、Email Verification for Azure AD and ADFS を参照してください。 |
| Purpose | 認証、Token Vault の Connected Accounts、またはその両方で接続を有効にします。詳細については、User authentication vs Connected Accounts を参照してください。 |
- Provisioning ビューでは、Auth0 でのユーザープロファイルの作成方法と更新方法を設定できます。
| Field | Description |
|---|---|
| Sync user profile attributes at each login | 有効にすると、Auth0 はユーザーがログインするたびにユーザープロファイルデータを自動的に同期し、接続元で行われた変更が Auth0 に自動的に反映されるようにします。 |
| Sync user profiles using SCIM | 有効にすると、Auth0 は SCIM を使用したユーザープロファイルデータの同期を許可します。詳細については、Configure Inbound SCIM を参照してください。 |
- Login Experience ビューでは、この接続を使用したユーザーのログイン方法を設定できます。
| フィールド | 説明 |
|---|---|
| Home Realm Discovery | ユーザーのメールアドレスのドメインを、指定されたIDプロバイダーのドメインと照合します。詳細については、Configure Identifier First Authentication を参照してください |
| 接続ボタンを表示 | このオプションを有効にすると、アプリケーションの接続ボタンをカスタマイズするための以下の選択肢が表示されます。 |
| ボタン表示名 (任意) | Universal Login のログインボタンをカスタマイズするためのテキストです。設定すると、ボタンには「{Button display name}で続行」と表示されます。 |
| ボタンロゴURL (任意) | Universal Login のログインボタンをカスタマイズするための画像の URL です。設定すると、Universal Login のログインボタンに画像が 20px x 20px の正方形で表示されます。 |
任意のフィールドは Universal Login でのみ使用できます。Classic Login を使用している場合、Add ボタン、ボタン表示名、ボタンロゴURL は表示されません。
- ユーザーがログインできるようにアプリケーションへの同意を付与するための適切な Azure AD 管理者権限がある場合は、続行 をクリックします。 Azure AD アカウントにログイン し、同意を付与するよう求められます。そうでない場合は、管理者が同意を付与できるよう、表示された URL を管理者に共有してください。
Auth0 アプリケーションでエンタープライズ接続を有効にする
接続をテストする
トラブルシューティング
Azure AD の署名キーのロールオーバー
「未確認」ラベルを削除する
- Auth0 アプリケーションのドメインを検証します: Azure Active Directory portal を使用してカスタム ドメイン名を追加する。
- 検証済みのドメインを Auth0 アプリケーションに割り当てます: 方法: アプリケーションの発行元ドメインを構成する。