機密アプリケーションは、パブリックアプリケーションとは異なり、認証情報を安全に保存できます。機密アプリケーションが token endpoint からアクセストークンまたは を要求する場合、アプリケーションは に対して認証する必要があります。このトークン要求の際に、アプリケーションは自身が保持する認証情報を提示します。さらに、アプリケーション認証情報は、/authorize エンドポイントに送信されるリクエストパラメーターの真正性と完全性を保護するためにも使用できます。
機密アプリケーションとパブリックアプリケーションの違いについて詳しくは、Confidential and Public Applications を参照してください。
Auth0 からトークンを取得するには、アプリケーションが Authentication API を介して認証する必要があります。Auth0 では、アプリケーションの認証方法として以下をサポートしています。
- : 対称認証方式です。クライアントシークレット認証では、アプリケーションの作成時に Auth0 が生成したクライアントシークレットを使用します。
- Private Key : 非対称認証方式です。Private Key JWT では、認証情報として使用する公開鍵と秘密鍵の鍵ペアを生成します。公開鍵は Auth0 に提供し、秘密鍵は Auth0 と共有せず、自社のシステム内で安全に保管します。
- mTLS for : 非対称認証方式です。mTLS for OAuth では、標準の X.509 クライアント証明書を Auth0 に登録します。次に、対応する秘密鍵を使用して mTLS トンネルを安全に確立し、Auth0 テナントのエンドポイントにリクエストを送信します。
クライアントシークレット認証は、OAuth 2.0 仕様 で定義されている対称認証方式です。クライアントシークレット認証は、Auth0 のデフォルトの認証方式です。
この認証方式は、既存のすべてのアプリケーションとツールでサポートされています。クライアントシークレットは、アプリケーションの作成時に Auth0 によって生成される高エントロピーの値で、アプリケーションと Auth0 の両方が保持します。アプリケーションは、認可サーバーへのリクエストにクライアントシークレットを含めることで認証します。
認証情報としてクライアントシークレットを使用することには、特に高度なセキュリティが求められるシナリオでは、いくつかのセキュリティリスクがあります。
- アプリケーションが使用するシークレットは Auth0 と共有されます。
- シークレットはネットワーク経由で送信されるため、中間者攻撃を受けた場合に傍受される可能性があります。
セキュリティ体制を強化するため、Private Key JWT 認証方式の使用を推奨します。
Private Key JWT は Enterprise プランのお客様のみご利用いただけます。アップグレードするには、Auth0 pricing にお問い合わせください。
-
公開鍵と秘密鍵を設定します。
- キーペアを生成 します (公開鍵 1 つと秘密鍵 1 つ) 。
- 認証リクエストを行うアプリケーションに秘密鍵を登録し、IDプロバイダー (IdP) に公開鍵を登録します。
-
認可サーバーへのリクエスト用のアサーションを作成します。
- 指定されたクレームを含む新しいアサーションを JWT 形式で作成し、秘密鍵で署名します。このアサーションを IdP へのリクエストの一部として含めます。
- IdP は公開鍵を使用してアサーションを検証します。
Auth0 で Private Key JWT を設定するには、Private Key JWT 認証の設定 を参照してください。Private Key JWT のアサーション作成の詳細については、Authenticate with Private Key JWT を参照してください。
Private Key JWT を使用する主なセキュリティ上の利点は次のとおりです。
- 秘密鍵はネットワーク経由で送信されないため、アプリケーションの認証情報が漏えいするリスクを低減できます。Auth0 のような は秘密鍵を保持せず、秘密鍵にアクセスできるアプリケーションだけが認証リクエストを作成できます。
- 署名付きアサーションの有効期限は短いため、リプレイ攻撃の機会を抑えられます。
Highly Regulated Identity 機能を使用するには、Highly Regulated Identity アドオンを含む Enterprise Plan が必要です。詳細については、Auth0 Pricing を参照してください。 mTLS は、アクセストークンを攻撃者から保護するための Sender Constraining や Token Binding もサポートしています。詳しくは、Configure Sender Constraining を参照してください。Token Binding では、mTLS で使用するクライアント証明書のような事前登録済みのアプリケーション認証情報は必要ありません。 Highly Regulated Identity 機能を利用するには、Highly Regulated Identity アドオンを含む Enterprise Plan が必要です。詳細については、Auth0 Pricing を参照してください。 認証情報の用途ごとに、別々の鍵ペアを生成する必要があります。たとえば、JAR と Private Key JWT Authentication の両方に同じ鍵ペアを使い回さないでください。
認証
ユーザー管理
カスタマイズ
Auth0 AI
プラットフォーム