FAPI準拠を設定する

Auth0テナントのFAPI準拠を設定する方法を説明します。

Highly Regulated Identity 機能を使用するには、Highly Regulated Identity add-on を含む Enterprise Plan が必要です。詳しくは、Auth0 Pricingを参照してください。

お客様が Auth0テナント をいずれかの Financial-grade API (FAPI) プロファイルに準拠するよう設定できるように、Application モデルには compliance_level プロパティがあり、これに次のいずれかの値を設定できます。

• null または undefined: 準拠レベルは不要です。これはデフォルト値です。
• fapi1_adv_mtls_par: このクライアントを、mTLS と PAR を使用する FAPI1 Advanced プロファイルに準拠した動作にします。
• fapi1_adv_pkj_par: このクライアントを、Private Key JWT と PAR を使用する FAPI1 Advanced プロファイルに準拠した動作にします。
• fapi2_sp_pkj_mtls: このクライアントを、Private Key JWT と mTLS Token Sender-Constraining を使用する FAPI 2.0 Security Profile に準拠した動作にします。
• fapi2_sp_mtls_mtls: このクライアントを、mTLS Client Authentication と mTLS Token Sender-Constraining を使用する FAPI 2.0 Security Profile に準拠した動作にします。

FAPI プロファイルに準拠するには、複数の設定変更が必要です。compliance_level を設定すると、リクエストと設定の両方が選択した標準に準拠していない限り、認可リクエストは成功しません。

たとえば、fapi1_adv_pkj_par と fapi1_adv_mtls_par の両方の準拠レベルでは PAR が必要です。これらの準拠レベルのいずれかを選択した場合、require_pushed_authorization_requests 設定の値に関係なく、PAR が必須になります。PAR を使用せずに認可を試行すると、次のエラーレスポンスが返されます。

{
  “error”: “invalid_request”,
  "error_description": "Pushed Authorization Requestsは設定された準拠レベルによって必要とされています" 
}

場合によっては、準拠レベルを設定すると、Auth0 の動作も変化します。たとえば、fapi1_adv_pkj_par と fapi1_adv_mtls_par の両方の準拠レベルでは、返される IDトークン に、state 値の SHA256 ハッシュを含む s_hash クレームが含まれます。これにより、IDトークンは分離署名として機能できます。

次の表は、各準拠レベルで有効になる追加の検証ルールと、Auth0 の動作変更をまとめたものです。

検証	fapi1_adv_pkj_par	fapi1_adv_mtls_par	fapi2_sp_pkj_mtls	fapi2_sp_mtls_mtls
/userinfo の呼び出し時に、URL クエリでアクセストークンを使用できないようにします。アクセストークンは代わりに Authorization ヘッダーに設定する必要があります。	Y	Y	Y	Y
PAR が必要です。	Y	Y	Y	Y
S256 チャレンジメソッドを使用する PKCE が必要です。	Y	Y	Y	Y
クライアントの許可済みコールバックでワイルドカードを使用できないようにします。	Y	Y	N	N
JAR の使用を必須にします。	Y	Y	N	N
JAR ペイロードが PS256 アルゴリズムで署名されていることを確認します。	Y	Y	N	N
JAR ペイロードに nbf クレームが含まれ、その値が過去 60 分以内であることを確認します。	Y	Y	N	N
JAR ペイロードに exp クレームが含まれ、その値が nbf クレームから 60 分以内であることを確認します。	Y	Y	N	N
クライアントで oidc_conformant プロパティが true に設定されていることを確認します。	Y	Y	Y	Y
x-fapi-* ヘッダーの使用が必要です。	Y	Y	N	N
クライアント認証で Private Key JWT の使用が必要です。	Y	N	Y	N
クライアント認証で mTLS の使用が必要です。	N	Y	N	Y
許可される response type。	code id_token	code id_token	code	code
Private Key JWT アサーションで aud クレームが Issuer と厳密に一致する必要があります。	N	N/A	Y	N/A
プッシュド認可リクエスト では redirect_uri パラメーターが必要です。	N	N	Y	Y

Auth0 の更新後の動作	fapi1_adv_pkj_par	fapi1_adv_mtls_par	fapi2_sp_pkj_mtls	fapi2_sp_mtls_mtls
IDトークンに s_hash クレームを追加します。	Y	Y	N	N
profile スコープが要求されると、update_at クレームには文字列ではなく OIDC 準拠の Unix タイムスタンプが含まれます。	Y	Y	Y	Y
OIDC 準拠のエラーコードのみを返します。場合によっては Auth0 が追加のエラーコードを返すことがありますが、この準拠レベルを有効にすると、Auth0 は OpenID 標準で定義されたエラーコードのみを使用します。	Y	Y	Y	Y
code レスポンスで Issuer を iss パラメーターとして返します。	N	N	Y	Y
認可コードの最大有効期間を 60 秒に短縮します。	N	N	Y	Y

​

クライアントの FAPI準拠を設定する

Auth0 Dashboard

Auth0 Dashboard で設定するには、次の手順に従います。

1. Auth0 Dashboard > Applications に移動します。
2. アプリケーションを選択します。
3. Application Settings タブを選択します。
4. Advanced Settings セクションを開きます。
5. OAuth タブで、FAPI Compliance Enforcement Level を選択します。

FAPI準拠の設定オプションは次のとおりです。

• None: 準拠レベルは不要です。これはデフォルト設定です。
• FAPI 1 Advanced profile using Private Key JWT and PAR: このクライアントを、Private Key JWT と PAR を使用する FAPI1 Advanced profile に準拠した動作にします。
• FAPI 1 Advanced profile using mTLS and PAR: このクライアントを、mTLS と PAR を使用する FAPI1 Advanced profile に準拠した動作にします。
• FAPI 2.0 Security Profile with Private Key JWT and certificate binding: このクライアントを、Private Key JWT Client Authentication と mTLS Token Sender-Constraining を使用する FAPI2.0 Security Profile に準拠した動作にします。
• FAPI 2.0 Security Profile with mTLS and certificate binding: このクライアントを、mTLS Client Authentication と mTLS Token Sender-Constraining を使用する FAPI2.0 Security Profile に準拠した動作にします。

Management API

Management API を使用して、POST または PATCH リクエストで compliance_level プロパティを設定します。

curl --location --request PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/$client_id' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data '{
    "compliance_level": "fapi1_adv_mtls_par"
}'

compliance_level プロパティを取得するには、GET リクエストを使用します。

curl --location 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID} \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_ACCESS_TOKEN}'

FAPI 2.0 コンプライアンスでは、pushed authorization request の有効期限を 600 秒未満の値に設定でき、デフォルトは 30 秒です。有効期限の値は Management API を使用して設定できます。

​

詳細

• Private Key JWT 認証を設定する
• プッシュド認可リクエスト (PAR) を設定する
• mTLS 認証を設定する