Skip to main content
Model Context Protocol (MCP) の仕様では、RFC 8707で定義された標準準拠のresourceパラメーターを使用することが求められています。一方、Auth0の認証APIでは従来、対象となるリソースサーバー (API) の指定にaudienceパラメーターを使用してきました。このドキュメントでは、新しいresourceパラメーターの概要と、新しい互換性プロファイルを有効にする手順について説明します。

​
Resource Parameter Compatibility Profile を有効にする

To use the resource parameter in your access tokens and the iss claim to identify your authorization server, you need to enable two toggles in the Auth0 Dashboard:
  1. Navigate to Settings on the left sidebar.
  2. Select Advanced in the top right corner.
  3. Scroll down to the Settings section and enable the following toggles:
    • Resource Parameter Compatibility Profile: Enables support for the resource parameter in authorization requests, allowing access tokens to be scoped to a specific API.
    • Include Issuer in Authorization Responses: Includes the iss parameter identifying the authorization server in authorization responses, helping clients defend against mix-up attacks.

​
仕組み

Resource Parameter Compatibility Profileが無効の場合、動作は従来どおりで、Auth0のアクセストークンにはaudienceパラメーターのみが使用されます。
アクセストークン内のオーディエンスアクセストークン内のオーディエンス
Resource Parameter Compatibility Profileを有効にすると、Auth0はresourceパラメーターがあればそれを使用して、トークンのオーディエンスを定義します。
アクセストークン内のリソースアクセストークン内のリソース
resourceとaudienceの両方が指定されている場合は、引き続きaudienceが使用されます。Auth0はresourceをアップストリームのIDプロバイダー (IdP) には転送しません。詳細はこちら。 RFC 8707では、resourceパラメーターは絶対URIである必要があります。RFC 8707に準拠するために、リソースサーバーの識別子 (API識別子) はURI形式で定義することをお勧めします。なお、MCPサーバーの識別子に絶対URIを使用することは、MCP認可仕様でも必須とされています。

​
サポートされているフロー

resource パラメーターは、次のフローでサポートされています。
  • 標準の認可フロー (/authorize)
  • プッシュ型認可リクエスト (PAR)
  • JWTで保護された認可リクエスト (JAR)
  • クライアント起点のバックチャネル認証 (CIBA)
  • リフレッシュトークン付与タイプ

​
アップストリームのIDプロバイダー (IdP) へのリソースパラメーターの転送

アップストリームのIdPにフェデレーションする際、Auth0では、開始元のクライアントがパラメーターを転送できる仕組みを提供しています。ドキュメントに記載のとおり、resourceはアップストリームのIdPに転送可能なパラメーターの1つです。 RFC 8707では、resourceパラメーターに絶対URIを指定するよう求められています。RFC 8707に準拠するため、リソースサーバーの識別子 (APIの識別子) はURI形式で定義することをお勧めします。アクセストークンの詳細が漏洩するのを防ぐため、Resource Parameter Compatibility Profileが有効な場合、Auth0はリソースパラメーターをアップストリームのIdPに転送しません。
  • Resource Parameter Compatibilityが無効 (デフォルトの動作) の場合：
    • resourceをアップストリームのIdPのパラメーターとして使用できます。
  • Resource Parameter Compatibilityが有効の場合：
    • resourceはアップストリームのIdPのパラメーターとして使用できず、転送もされません。
    リソースパラメーターをアップストリームのIdPに渡す場合は、Resource Parameter Compatibility Profileを有効にしないでください。