複数の IDプロバイダー組織

すべての Auth0 組織が複数の Auth0 接続を持つ、複数の IDプロバイダー（IdP）組織について説明します。

複数の IDプロバイダー (IdP) 組織のシナリオでは、Auth0 Organizations 機能を使用するすべての組織が、複数の Auth0 接続 を使用します。多くの点で、このシナリオの実装は 単一 IDプロバイダー組織。In fact の実装と同じです。実際、Auth0 Organizations 機能では両方を組み合わせて利用でき、2 つの間を簡単に移行することもできます。ただし、追加で考慮すべき点がいくつかあります。

​

接続

通常 Authorization に含まれる情報に加えて、ユーザーの第一要素認証がどの特定の Auth0 接続 を介して実行されたかに関する詳細を追加できます。明示的に必須ではありませんが、アクセス制御に利用できる追加のコンテキストをアプリケーションや API に提供するために、この情報をカスタムクレームとして ID Token や Access Token に追加できます。

次の例に示すように、カスタムクレームは通常、Rules の拡張機能を使用して追加します。これにより、context オブジェクトを使用して接続固有の情報にアクセスできます。

context.idToken['http://travel0.net/connection'] = context.connection;     // 接続名クレーム
context.accessToken['http://travel0.net/connection'] = context.connection; // 接続名クレーム

Rules コンテキストオブジェクトを使用すると、ユーザーの第一要素認証に使用される接続に関するさまざまな情報 (connection の名前、connectionID、connectionStrategy など) にアクセスできます。さらに、Rules の拡張機能で利用できる追加情報も提供されるため、任意の一元化されたポリシー適用の一部として活用できます。

​

データベース接続

Auth0 では複数のデータベース接続およびカスタムデータベース接続をプロビジョニングできますが、これらの種類の接続を 1 つの Auth0 組織に複数関連付けることは推奨されません。これは、データベース接続およびカスタムデータベース接続が現在 Home Realm Discovery をサポートしておらず、これは識別子ファースト認証の重要な構成要素であるためです。そのため、複数定義されている場合、Universal Login の New Experience では、それらの間で選択できません。

ベストプラクティス

Auth0 組織で使用するカスタムデータベース接続を定義する場合は、任意の時点で、その Auth0 組織に関連付けるカスタムデータベース接続を必ず 1 つのみにしてください。

​

Enterprise 接続

エンタープライズアプリケーションで Enterprise Federation を使用している場合は、その Authentication Profile で Identifier First Authentication with Home Realm Discovery を有効にできます。有効にすると、Home Realm Discovery によって既知のドメインのメールアドレスが検出され、適切な Workforce ログインに自動的に転送されます。

詳細については、組織のログインフロー の Identifier First Authentication を参照してください。

​

ソーシャル接続

Authentication セクションで説明した考慮事項以外に、ソーシャル接続を複数の IdP を使用する組織シナリオの一部として使用する際に、追加で考慮すべき事項はありません。