ログアウト とは、認証済みセッションが不要になった時点で終了し、権限のない第三者によるセッションの「乗っ取り」を防ぐためのものです。通常は、ユーザーに提供するユーザーインターフェイスにログアウトのオプションを用意して実現します。ユーザーがログインすると、複数種類のセッション (例: ローカルアプリケーションのセッション、Auth0 セッション、サードパーティの セッション) が作成されることがあり、ユーザーが Logout オプションをクリックした際に、そのうちどのセッションを終了する必要があるかを判断する必要があります。
ベストプラクティス
ログアウトの動作では、どのセッションが終了されるのかをユーザーに明確に示す必要があります。また、理想的には、ログアウト後に視覚的な確認も表示するようにしてください。
- ユーザーがログアウトを開始したときに、どのセッションを終了すべきですか。
- 終了したセッションの確認として、どのような情報をユーザーに提供すべきですか。
- ログアウト完了後、ユーザーをどこにリダイレクトすべきですか。
- ユーザーがログアウト処理を実行しなかった場合、セッションをどのくらい維持したいですか。
- エンドユーザーが 1 つのアプリケーションからログアウトしたときに、そのユーザーのすべてのアプリケーションセッションからもログアウトさせるべきですか。
- ログアウト時に、組織の IdP とのセッションも終了すべきですか。
ユーザーがログインするたびに作成されるセッションの種類はさまざまであるため、ログアウトにもいくつかの種類があります。ローカルアプリケーションのログアウトはアプリケーションとのセッションを終了し、Auth0 のログアウトは Auth0 セッションを終了します。独自の IdP を使用している組織がある場合は、フェデレーテッドログアウト 戦略を検討し、それに応じて実装することをおすすめします。グローバルログアウト、または シングルログアウト (SLO) は、Auth0 セッションを終了し、さらに Auth0 セッションに依存しているアプリケーションにログアウト要求または通知を送信します。
アプリケーションが提供する機能や、シングルサインオン (SSO) のような機能の利用状況に応じて、必要なログアウトの種類や、ユーザーに提供すべき視覚的な確認内容が決まります。どのオプションを選ぶ場合でも、実装するログアウト処理では、どのセッションが終了されるのか、またログアウト処理がいつ完了したのかをユーザーに明確に示す必要があります。
あるアプリケーションのログアウト機能によって、他のアプリケーションでも使用されている Auth0 の SSO セッションが終了すると、未確定のトランザクションがある場合にユーザーが作業内容を失うおそれがあります。作業内容の損失を最小限に抑えるため、そのような状況に対処するために必要な機能を必ず追加してください。
ユーザーがログアウトした後にアプリケーションへリダイレクトされ、そのアプリケーションが、引き続きユーザーの有効なセッションを保持しているIDプロバイダーにリダイレクトする場合、ユーザーはアプリケーションにサイレント ログインされます。その結果、ユーザーにはログアウト処理が正しく機能しなかったように見えることがあります。
SLO を導入するとシステムが複雑になる可能性があるため、追加の開発コストや保守コストをかける前に、本当に必要かどうかを十分に検討してください。
ベストプラクティス
レート制限やパフォーマンス低下を避けるため、Auth0 テナントへの呼び出しは必要以上に増やさないようにしてください。ベストプラクティスとしては、トークンの有効期限が切れていて、かつユーザーが操作を行った場合にのみ、新しいトークンを要求します。これにより、アプリケーションが開かれているだけで実際には使われていない場合に、新しいトークンを継続的にポーリングし続けることを防げます。connection パラメーターを使うエンタープライズ接続の一部として、ユーザーをそのユーザー自身の IdP に自動的に直接転送している場合、フェデレーテッドログアウト も実施していない限り、この手法は機能しない可能性があります 
認証
ユーザー管理
カスタマイズ
Auth0 AI
プラットフォーム