クライアントシークレットのローテーション

Auth Dashboard または Management API を使用して、アプリケーションのクライアントシークレットをローテーションする方法を説明します。

クライアントシークレットは、Auth0 DashboardまたはAuth0 Management APIで変更できます。クライアントシークレットをローテーションする場合は、認可されたアプリケーションを新しい値に更新する必要があります。

クライアントシークレットはパブリッククライアントアプリケーションに保存しないでください。詳細については、Confidential and Public Applications. を参照してください。

ローテーション中は、新しいシークレットが反映されるまで最大30秒かかる場合があります。ダウンタイムを最小限に抑えるため、以前のシークレットのフォールバックとして、新しいクライアントシークレットをアプリケーションのコードまたはシステム設定に保存しておくことをお勧めします。これにより、クライアントアプリケーションからのリクエストが古いシークレットで機能しない場合、アプリは新しいシークレットを使用します。

シークレットは不要になるまで、リスト (または同様の構造) に保存できます。古いシークレットが不要になったことを確認したら、アプリのコードからその値を削除できます。

​

Dashboard を使用する

1. Auth0 Dashboard で Applications > Applications に移動し、表示するアプリケーションの名前を選択します。

   

2. Settings ページの一番下までスクロールし、Danger Zone で Rotate を選択して確認します。

3. ページの先頭までスクロールし、Credentials タブに切り替えます。

4. クライアントシークレット を見つけて目のアイコンを選択し、新しいシークレットを表示します。

   

5. 新しい値で許可済みのアプリケーションを更新します。

​

Management API を使用する

1. Management API の Rotate a client secret エンドポイントを呼び出します。プレースホルダー {yourClientId} と MGMT_API_ACCESS_TOKEN は、それぞれクライアントID と Management API のアクセストークンに置き換えてください。

値	説明
{yourClientId}	更新するアプリケーションの ID。
MGMT_API_ACCESS_TOKEN	スコープ update:client_keys を持つ Management API 用のアクセストークン。

2. 新しい値で許可済みアプリケーションを更新します。

​

任意のクライアントシークレットを設定する

自動生成されたシークレットへのローテーションをリクエストする代わりに、Management API の クライアントを更新 エンドポイントを使用して、クライアントシークレットを手動で設定できます。これにより、実際にローテーションが行われる前に、アプリケーションを次回のシークレットをフォールバックとして使用するよう構成できます。

   curl --request PATCH \
   --url https://{TenantDomain}/api/v2/clients/{ClientID} \
   --header 'Authorization: Bearer {AccessToken}' \
   --header 'Content-Type: application/json' \
   --data '{
      "client_secret": "{CustomClientSecret}"
      }'

​

詳細情報

• 署名証明書を表示
• 署名アルゴリズム
• アプリケーションの署名アルゴリズムを変更