Web Services Federation プロトコル

Auth0 が Web Services Federation（WS-Fed）プロトコルとどのように連携するかを説明します。

Web Services Federation (WS-Federation または WS-Fed) は、WS-Security フレームワークの一部であり、WS-Trust の機能を拡張するものです。WS-Federation の機能は、SOAP アプリケーションや Web サービスで直接利用できます。WS-Fed は、トークンの発行をネゴシエートするために使用できるプロトコルです。このプロトコルは、アプリケーション (Windows Identity Foundation ベースのアプリなど) や IDプロバイダー (Active Directory Federation Services や Azure AppFabric Access Control Service など) で利用できます。

​

アプリケーション向け

Auth0 にアプリケーションを登録すると、次の形式の WS-Fed エンドポイントが自動的に割り当てられます。

https://{yourDomain}/wsfed/{yourClientId}

WS-Fed の設定に使用できるすべてのオプションは、アプリケーションの 詳細設定 で確認できます。

Relying Party を設定する必要があります。これは、次のメタデータ エンドポイントを使用して行えます。

https://{yourDomain}/wsfed/FederationMetadata/2007-06/FederationMetadata.xml

また、Rules で使用できる samlConfiguration オブジェクトを使用して、トークンで送信されるクレームや、そのほかの低レベルな WS-Fed および SAML-P の設定を構成することもできます。

ユーザーを WS-Fed エンドポイントにリダイレクトする際は、次の (省略可能な) パラメーターを使用できます。

パラメーター	説明
wa=wsignin1.0	Auth0 が Relying Party 向けのトークンを発行するかどうか (既定)
wa=wsignout1.0	Auth0 がユーザー セッションをクリアするかどうか、またはユーザーをログアウトするかどうか
wreply={callback_URL}	レスポンスの送信先
wctx={state}	アプリケーションの state
whr={connection_name}	使用する接続 (ユーザーは Auth0 のログイン ページをスキップできます)
wfresh=0	セッションが存在していても、ユーザーに再認証を要求するかどうか (0 の場合は再認証が必要)

省略可能なパラメーターを含む URL の例を次に示します。

https://{yourDomain}/wsfed/{yourClientId}?whr=google-oauth2

​

IDプロバイダー

WS-Federation プロトコルを使用するIDプロバイダー (Active Directory Federation Services、Azure AppFabric Access Control Service、IdentityServer など) で Auth0 を利用している場合、連携を設定する最も簡単な方法は、ダッシュボードで ADFS 接続タイプを作成して使用することです。これを行う方法は 2 つあります。

• Federation Metadata ファイルをインポートする
• 変更を確認するため、Federation Metadata エンドポイントを有効にする

​

Federation メタデータ ファイルをインポートする

ADFS ベースの接続を設定する際は、Federation Metadata エンドポイントを Auth0 に指定するか、フェデレーション メタデータ ファイルをインポートまたはアップロードすることで、必要なパラメーターを取り込めます。

統合の設定を完了するために必要な手順が表示されます。

​

Federation Metadata エンドポイントを有効にする

Federation Metadata ファイルには、IDプロバイダーの証明書に関する情報が含まれています。Federation Metadata エンドポイント (通常は /FederationMetadata/2007-06/FederationMetadata.xml で終わる形式) を指定すると、Auth0 は設定の変更を毎日確認できます。たとえば、ロールオーバーに備えて新しい署名証明書が追加された場合などです。そのため、スタンドアロンのメタデータファイルを指定するよりも、Federation Metadata エンドポイントを有効にすることを推奨します。スタンドアロンのメタデータファイルを指定した場合は、証明書の有効期限が近づくとメールで通知します。

Federation Metadata にプライマリ証明書とセカンダリ証明書の両方が含まれている場合は、Auth0 でその両方を使用できます。

Federation Metadata エンドポイントを使用して証明書をロールオーバーするには、次の手順に従います。

1. 新しい証明書を生成し、ADFS 環境のセカンダリ証明書として追加します。これは、現在有効なプライマリ証明書の有効期限が切れる少なくとも 2 日前 に実施してください。
2. Auth0 が Federation Metadata エンドポイントから新しい証明書を取得できるようにします。Auth0 はエンドポイントを 1 日 1 回確認するため、この手順を完了するのに十分な時間を確保してください。 または、Auth0 Dashboard にログインし、該当する ADFS 接続に移動して Save をクリックすることで、この手順を手動で完了することもできます。この操作により、Auth0 は証明書を直ちにダウンロードします。
3. ADFS 環境で既存のプライマリ証明書の有効期限が切れる前に、現在セカンダリになっている証明書をプライマリ証明書として設定します。

​

​

詳しく見る

• WS-Fed アプリケーションを設定する