クライアント起点バックチャネル認証を設定する

テナントでクライアント起点バックチャネル認証を設定する方法を説明します。

クライアント起点バックチャネル認証 (CIBA) 機能を使用するには、Enterprise Plan または適切なアドオンが必要です。詳細については、Auth0 Pricingを参照してください。

クライアント起点バックチャネル認証 (CIBA) フローは、OpenID Foundation によって定義された、疎結合の認証および認可フローです。CIBA フローは、CIBA リクエストを開始するデバイス (consumption device) と、ユーザーが認証に使用するデバイス (authentication device) が異なる非同期ワークフローで使用できます。

Auth0 で CIBA を設定するには、次の作業を行います。

• アプリケーションの CIBA グラントタイプを設定する
• アプリケーションの通知チャネルを有効にする
• CIBA の通知チャネルを設定する

​

前提条件

アプリケーションで CIBA を設定する前に、アプリケーションの認証方法を設定しておいてください。CIBA フローでは、mTLS 認証、Private Key JWT 認証、クライアントシークレット認証を含む、任意の認証方法を使用できます。

アプリケーションの認証方法を設定するには、Credential Settingsを参照してください。

​

アプリケーション用に CIBA グラントタイプを設定する

Auth0 Dashboard または Management API を使用して、アプリケーションの CIBA グラントタイプを設定できます。

CIBA グラントタイプを使用できるクライアントタイプには、いくつか制限があります。CIBA グラントタイプを使用できるのは、次の場合に限られます。

• クライアントがファーストパーティクライアントであり、is_first_party プロパティが true であること。
• クライアントが認証メカニズムを備えた confidential クライアントであり、token_endpoint_auth_method プロパティが none に設定されていないこと。
• クライアントが OIDC 準拠であり、oidc_conformant が true であること。これは、すべての新規クライアントのデフォルトです。

CIBA グラントタイプを有効にすると、アプリケーションで使用可能な通知チャネルの設定が表示されるようになります。

Auth0 Dashboard

Auth0 Dashboard を使用してアプリケーションの CIBA を設定するには、次の手順に従います。

1. Auth0 Dashboard で Applications > Applications に移動します。
2. アプリケーションを作成し、Grant Types タブで Client Initiated Backchannel Authentication (CIBA) を有効にします。

3. Save Changes をクリックします。

Management API

Management API を使用してアプリケーションの CIBA を設定するには、Update a Client エンドポイントを使用して、urn:openid:params:grant-type:ciba グラントタイプをクライアントオブジェクトのグラントタイプ一覧に追加します。

curl --location --request PATCH 'https://{YOUR_DOMAIN}.auth0.com/api/v2/clients/{YOUR_CLIENT_ID}' \
--header 'Content-Type: application/json' \
--header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
--data '{
    "grant_types": [
        "authorization_code",
        "refresh_token",
        "urn:openid:params:grant-type:ciba"
    ]
}'

Go 用の Management API SDK ライブラリを使用することもできます。詳細については、SDKs を参照してください。

myClient := &Client{
    Name:        auth0.Stringf("CIBA-enabled-client"),
    Description: auth0.String("This is a CIBA enabled client."),
    GrantTypes:  &[]string{"urn:openid:params:grant-type:ciba"},
  }

  err := api.Client.Create(context.Background(), myClient)

​

アプリケーションの通知チャネルを有効にする

クライアント起点バックチャネル認証 (CIBA) 機能を使用するには、Enterprise Plan または適切なアドオンが必要です。詳しくは Auth0 Pricing を参照してください。

アプリケーションで CIBA のグラントタイプを有効にしたら、CIBA フローで使用する通知チャネルを設定できます。複数の通知チャネルを有効にしている場合、CIBA は requested_expiry パラメーターの値に基づいて使用する通知チャネルを決定します。requested_expiry は、CIBA セッションの有効期間の上限を秒単位で指定します。

• モバイルプッシュ通知: requested_expiry を 300 秒以下に設定すると、有効になっている場合は CIBA でモバイルプッシュ通知チャネルが使用されます。
• メール通知: requested_expiry を 301 ～ 259200 秒 (72 時間) の値に設定すると、有効になっている場合は CIBA でメール通知チャネルが使用されます。

Auth0 Dashboard

Auth0 Dashboard でアプリケーションの通知チャネルを設定するには、次の手順を実行します。

• Applications > Applications に移動します。
• アプリケーション設定の クライアント起点バックチャネル認証 (CIBA) セクションに移動し、有効にする通知チャネルを選択します。

Management API

クライアントアプリケーションの /api/v2/clients エンドポイントに PATCH リクエストを送信し、CIBA フローの通知チャネルを設定します。

次のコードサンプルでは、CIBA フローで guardian-push 通知チャネルを有効にしています。

curl -L --request PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-H "Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}" \
-d '{
    "async_approval_notification_channels":["guardian-push"]
}'

​

通知チャネルを設定する

クライアントアプリケーションで通知チャネルを有効にしたら、CIBAフローの通知チャネルを設定します。

• モバイルプッシュ通知を設定する
• メール通知を設定する

​

モバイルプッシュ通知を設定する

CIBA でモバイルプッシュ通知を送信するには、次のいずれかを使用できます。

• Auth0 Guardian アプリ
• Auth0 Guardian SDK と統合されたカスタムアプリ

使用するアプリは、Auth0 Guardian プッシュ通知を有効にするときに選択できます。カスタムアプリを使用する場合は、Auth0 Guardian SDK と統合する必要があります。これにより、承認するユーザーはカスタムアプリ内で、CIBA フローによって開始されたプッシュ通知チャレンジを承認できるようになります。

モバイルプッシュ通知を設定するには、次を必ず行ってください。

• Auth0 Guardian プッシュ通知を有効にする
• プッシュ通知を使用して承認するユーザーを MFA に登録する

​

Auth0 Guardian プッシュ通知を有効にする

Auth0 Dashboard を使用して、テナントで Auth0 Guardian Push Notification 認証要素を有効にします。

Auth0 Dashboard で次の操作を行います。

• Security > Multi-factor Auth. を選択します。

• Push Notification using Auth0 Guardian を有効にします。これには、一部の MFA 設定が必要になる場合があります。詳細については、MFA のプッシュ通知を設定する を参照してください。

• Push Notification App で、使用するアプリを選択します。

• Save をクリックします。

​

プッシュ通知を使用する MFA に承認ユーザーを登録する

ユーザーが MFA プッシュ通知を使用するように登録されていない場合、Auth0 は CIBA リクエストを拒否せず、設定されていればメール通知にフォールバックします。

Auth0 Guardian アプリとカスタムアプリのどちらでも、承認ユーザーをプッシュ通知を使用する MFA に登録する必要があります。

ユーザーが Auth0 Dashboard で登録されているか確認するには、User Management > ユーザー に移動し、対象のユーザーをクリックします。

テナントで 多要素認証 を常に必須に設定している場合、ユーザーは次回ログイン時に MFA への登録を求められます。MFA 登録を促すために Actions を使用することもできます。

​

メール通知を設定する

CIBA でメール通知を使用するには、有料プランの Auth0 for AI Agents アドオンが必要です。詳細については、Auth0 Pricing を参照してください。

CIBA フローでは、メール通知を送信できます。CIBA でメール通知を設定するには、次の点を確認してください。

• メールプロバイダーを設定する
• Asynchronous Approval テンプレートを使用するように、メールテンプレートを設定する
• 認可を行うユーザーが確認済みのメールアドレスを持っていることを確認する

​

メールプロバイダーを設定する

開発環境やテスト環境では、Auth0 組み込みのメールプロバイダーを使用してメール配信をテストできますが、本番環境で CIBA のメール通知を利用するには、独自のメールプロバイダーを設定する必要があります。

独自のメールプロバイダーの設定方法については、メールのカスタマイズ を参照してください。

​

メールテンプレートを設定する

Asynchronous Approval メールテンプレートを設定するには、以下の手順に従います。

Auth0 Dashboard

1. ブランディング > メールテンプレート に移動します。
2. テンプレート で、ドロップダウンメニューから Asynchronous Approval を選択します。
3. 残りのテンプレート設定は、テンプレートフィールドを設定する の手順に従って入力します。

Management API

/email-templates/async_approval エンドポイントに PATCH リクエストを送信し、テンプレートフィールドを設定する の手順に従って残りのテンプレート設定を入力します。詳細については、メールテンプレートを更新する API ドキュメントを参照してください。

curl -L "https://{YOUR_DOMAIN}.auth0.com/api/v2/email-templates" \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-H "Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}" \
-d '{"template":"async_approval","body":"{{application.name}} says click on {{url}}, binding message: {{binding_message}}","subject":"Action Required","syntax":"liquid","enabled":true,"from":""}'

​

認可するユーザーに確認済みメールアドレスがあることを確認する

ユーザーのメールアドレスが確認済みでない場合、Auth0 は CIBA のメールリクエストを拒否します。

CIBA でメール通知を送信するには、認可するユーザーのアカウントに、確認済みメールアドレスが紐付いている必要があります。

Auth0 Dashboard でユーザーのメールアドレスが確認済みかどうかを確認するには、次の手順に従います。

1. User Management > ユーザー に移動し、対象のユーザーをクリックします。
2. メールアドレス に、確認済みメールアドレスが表示されていることを確認します。