Déclencheurs d’actions : post-connexion - Objet API

api.access

Modifier l’accès à la connexion de l’utilisateur, par exemple en rejetant la tentative de connexion.

api.access.deny(reason)

Marquer la tentative de connexion en cours comme refusée. Cela empêchera l’utilisateur final de terminer le processus de connexion. Cette action N’ annulera PAS les autres effets secondaires liés à l’utilisateur (tels que les changements de métadonnées) demandés par cette action. Le flux de connexion s’arrêtera immédiatement après l’exécution de cette action et aucune autre action ne sera exécutée.

Renvoie une référence à l’objet api.

api.accessToken

Demande de modification du jeton d’accès en cours d’émission.

api.accessToken.setCustomClaim(name, value)

Élaborer une demande personnalisée sur le jeton d’accès qui sera défini à l’issue du processus de connexion.

Renvoie une référence à l’objet api.

api.accessToken.addScope(scope)

Ajouter une permission au jeton d’accès qui sera émis à la fin du processus de connexion.

Renvoie une référence à l’objet api.

api.accessToken.removeScope(scope)

Supprimer une permission du jeton d’accès qui sera émis à l’issue du processus de connexion.

Renvoie une référence à l’objet api.

api.authentication

Demande de modifications de l’état d’authentification de la session de l’utilisateur actuel.

api.authentication.recordMethod(provider_url)

Indique qu’une méthode d’authentification personnalisée a été appliquée dans la session en cours. Cette méthode sera alors disponible dans le tableau `event.authentication.methods` lors des connexions suivantes.

Important : Cette API n’est disponible qu’au sein de la fonction onContinuePostLogin pour les actions PostLogin. En d’autres termes, elle peut être utilisée pour enregistrer l’achèvement d’une méthode d’authentification personnalisée après avoir redirigé l’utilisateur via api.redirect.sendUserTo().

Renvoie une référence à l’objet api.

api.authentication.challengeWith(factor, options)

Défier l’utilisateur avec un ou plusieurs facteurs d’authentification multifacteur spécifiés. Cette méthode présente d’abord le défi par défaut, puis permet à l’utilisateur de sélectionner une option différente si des facteurs supplémentaires ont été fournis. Si l’utilisateur n’est inscrit à aucun des facteurs fournis (y compris les facteurs par défaut et les facteurs supplémentaires), la commande échoue.

Remarque : Cette méthode remplace les politiques et les règles existantes qui activent ou désactivent la MFA dans un locataire.

api.authentication.challengeWith({ 
    type: 'phone', 
    options: { preferredMethod: 'both'} 
  });

api.authentication.challengeWith({
    type: 'otp'
  }, {
    additionalFactors: [{
      type: 'push-notification'
    }, {
      type: 'phone'
    }]
  })

api.authentication.challengeWithAny(factors)

Déclencher un défi-réponse MFA et permettre à l’utilisateur de sélectionner son facteur préféré dans la liste fournie. Cette méthode présente à l’utilisateur un sélecteur de facteurs plutôt qu’un défi spécifique, conformément aux conditions suivantes :

• Si au moins deux facteurs sont spécifiés, un sélecteur de facteurs s’affiche.
• Si l’utilisateur ne s’est inscrit qu’à l’un des facteurs spécifiés (ou si un seul facteur est spécifié), le sélecteur de facteur est ignoré.
• Si l’utilisateur n’est pas inscrit à l’un des facteurs spécifiés, la commande de défi échoue.

Remarque : Cette méthode remplace les politiques et les règles existantes qui activent ou désactivent la MFA dans un locataire.

api.authentication.enrollWith(factor, options)

Amener l’utilisateur à s’inscrire avec un facteur MFA spécifique. Cette méthode demande à l’utilisateur de s’inscrire à un facteur par défaut, puis permet à l’utilisateur de sélectionner une option différente si des facteurs supplémentaires ont été fournis. Si l’utilisateur s’est déjà inscrit à tous les facteurs fournis (y compris les facteurs par défaut et les facteurs supplémentaires), la commande échoue.

Remarque : Cette méthode remplace les politiques et les règles existantes qui activent ou désactivent la MFA dans un locataire.

api.authentication.enrollWith({
    type: 'otp'
  }, {
    additionalFactors: [{
      type: 'push-notification'
    }, {
      type: 'phone'
    }]
  })

api.authentication.enrollWith({
    type: 'otp'
  }, {
    additionalFactors: [{
      type: 'push-notification'
    }, {
      type: 'phone'
    }]
  })

api.authentication.enrollWithAny(factors)

Demande à l’utilisateur qui s’inscrit de sélectionner un facteur MFA dans une liste fournie. Cette méthode présente à l’utilisateur un sélecteur de facteurs plutôt qu’une invite de facteur par défaut, conformément aux conditions suivantes :

• Si deux facteurs ou plus sont spécifiés, le sélecteur de facteurs s’affiche.
• Si l’utilisateur s’est déjà inscrit à tous les facteurs fournis sauf un, le sélecteur de facteurs est ignoré, et l’utilisateur est invité à s’inscrire au facteur restant.
• Si l’utilisateur s’est déjà inscrit à tous les facteurs fournis, la commande échoue.

Remarque : Cette méthode remplace les politiques et les règles existantes qui activent ou désactivent la MFA dans un locataire.

api.authentication.setPrimaryUser(primary_user_id)

Modifier l’utilisateur principal pour la transaction de connexion.

Dans les scénarios qui nécessitent de relier les utilisateurs, l’identité de l’utilisateur utilisée pour initier la connexion peut ne plus exister en tant qu’utilisateur distinct. Cette identité peut maintenant être une identité secondaire d’un utilisateur existant. Dans ce cas, la fonction setPrimaryUser() peut être utilisée pour indiquer que le sujet de la connexion doit être modifié.

Important :

• Lier des comptes de manière non sécurisée peut permettre à des acteurs malveillants d’accéder à des comptes d’utilisateurs légitimes. Votre locataire doit demander l’authentification des deux comptes avant de les lier.
• L’identité utilisée pour authentifier le connexion doit faire partie des identités secondaires de l’utilisateur référencé par primary_user_id. La connexion échouera et les jetons ne seront pas émis dans le cas contraire.

api.cache

Stocker et récupérer des données qui persistent à travers les exécutions.

api.cache.delete(key)

Supprime un enregistrement décrivant une valeur mise en cache à la clé fournie, si elle existe.

Renvoie un objet CacheWriteResult avec type: "success" si une valeur a été supprimée du cache. Si l’opération échoue, type: "error" est renvoyé. En cas d’erreur, l’objet renvoyé aura une propriété code qui indique la nature de l’échec.

api.cache.get(key)

Récupérez un enregistrement décrivant une valeur mise en cache à la key fournie, si elle existe. Si un enregistrement est trouvé, la valeur mise en cache peut être trouvée dans la propriété value de l’objet renvoyé.

Renvoie un enregistrement de cache si un élément est trouvé dans le cache pour key. Les enregistrements de cache sont des objets dotés d’une propriété value contenant la valeur mise en cache et d’une propriété expires_at indiquant l’expiration maximale de l’enregistrement en millisecondes depuis l’Unix epoch.

Important : Ce cache est conçu pour des données éphémères. Les éléments peuvent ne pas être disponibles lors de transactions ultérieures, même s’ils sont dans la limite de leur durée de vie.

api.cache.set(key, value, [options])

Stockez ou modifiez une valeur de chaîne dans le cache à la clé spécifiée.

Les valeurs stockées dans ce cache sont limitées au déclencheur dans lequel elles sont définies. Elles sont soumises aux Limites de cache des actions.

Les valeurs stockées de cette manière auront des durées de vie allant jusqu’aux valeurs ttl ou expires_at. Si aucune durée de vie n’est précisée, une durée de vie par défaut de 15 minutes sera utilisée. Les durées de vie ne doivent pas dépasser la durée maximale indiquée dans Limite du cache des actions.

Renvoie CacheWriteSuccess si les valeurs sont stockées avec succès. Dans le cas contraire, vous recevrez CacheWriteError.

api.idToken

Demande de modifications au jeton d’ID émis.

api.idToken.setCustomClaim(name, value)

Définir une demande personnalisée sur le jeton d’ID qui sera émis à l’issue du processus de connexion.

Renvoie une référence à l’objet api.

api.multifactor

Définir l’exigence d’une authentification multifacteur lors de la tentative de connexion.

api.multifactor.enable(provider, options)

Activer l’authentification multifacteur pour ce flux de connexion. Lorsque cette option est activée, les utilisateurs doivent répondre au défi multifacteur configuré. Le défi multifacteur proprement dit sera reporté à la fin du processus de connexion.

Renvoie une référence à l’objet api.

api.user

Apporter des modifications spécifiques à l’application aux métadonnées de l’utilisateur qui se connecte.

REMARQUE : L’invocation de ces méthodes n’entraîne pas une mise à jour immédiate des métadonnées. Vous pouvez les appeler plusieurs fois au cours de plusieurs actions du même flux et le moteur agrégera les changements et mettra à jour les métadonnées en une seule fois avant que le flux ne soit terminé.

api.user.setAppMetadata(name, value)

Définir les métadonnées de l’application pour l’utilisateur qui se connecte. Les données stockées dans app_metadata ne peuvent pas être modifiées par l’utilisateur.

Remarque : Ce déclencheur effectue un appel à Management API, en consommant la limite anti-attaques de Management API. Si cette requête atteint la limite anti-attaques et ne parvient pas à être relancée dans le délai imparti, vous recevrez une erreur Deadline Exceeded.

Renvoie une référence à l’objet api.

api.user.setUserMetadata(name, value)

Définir les métadonnées générales pour l’utilisateur qui se connecte.

Remarque : Ce déclencheur effectue un appel à Management API, en consommant la limite anti-attaques de Management API. Si cette requête atteint la limite anti-attaques et ne parvient pas à être relancée dans le délai imparti, vous recevrez une erreur Deadline Exceeded.

Renvoie une référence à l’objet api.

api.redirect

api.redirect.encodeToken(options)

Créer un jeton de session utilisable comme paramètre de chaîne de requête pour rediriger la cible (via sendUserTo) qui contient des données dont l’authenticité doit pouvoir être prouvée par le point de terminaison cible. Le point de terminaison cible peut vérifier l’authenticité et l’intégrité des données en contrôlant la signature du jeton JWT à l’aide d’un secret partagé.

Renvoie une chaîne JWT.

api.redirect.sendUserTo(url, options)

Déclenchez une redirection du navigateur vers l’adresse cible `url` immédiatement après la fin de cette action.

Renvoie une référence à l’objet api.

api.redirect.validateToken(options)

Récupère les données encodées dans un jeton JWT transmis au point de terminaison /continue tout en vérifiant l’authenticité et l’intégrité de ces données.

Renvoie les données utiles du jeton JWT.

api.rules

Obtenir des informations sur les règles qui se sont exécutées pendant la transaction en cours.

api.rules.wasExecuted(ruleId)

Vérifie si une règle spécifique a été exécutée avant cette Action dans la transaction en cours. Cela peut être utilisé pour éviter d’exécuter la logique qui a été dupliquée depuis cette Règle dans cette Action lors de la migration vers les Actions.

Cette méthode renvoie true si la règle avec l’ID fournie a été exécutée dans cette transaction, et false si ce n’est pas le cas.

api.samlResponse

Modifier la réponse SAML pour l’utilisateur qui se connecte

api.samlResponse.setAttribute(attribute, value)

Définir un attribut SAML personnalisé.

Une opération ayant échoué génère Error. En cas d’erreur, l’objet renvoyé comporte un message indiquant la nature de l’échec.

La valeur doit être de type SAMLValue, qui peut être string | number | boolean | null | Array

api.samlResponse.setAudience(audience)

Modifier l’audience de la réponse SAML. La valeur par défaut est l’émetteur SAMLRequest.

api.samlResponse.setIssuer(issuer)

Modifie l’émetteur de la réponse SAML. L’émetteur par défaut est urn:TENANT.

api.samlResponse.setEncryptionPublicKey(publicKey)

Indiquez éventuellement une clé publique utilisée pour chiffrer l’assertion SAML. La clé publique doit être obtenue auprès du fournisseur de services. La clé publique le certificat doivent être spécifiés.

api.samlResponse.setRecipient(recipient)

Modifiez le destinataire de l’assertion SAML (SubjectConfirmationData). La valeur par défaut est AssertionConsumerUrl sur SAMLRequest ou la URL de rappel si aucun SAMLRequest n’a été envoyé.

api.samlResponse.setCreateUpnClaim(createUpnClaim)

Indique si une réclamation UPN doit être créée. La valeur par défaut est true.

api.samlResponse.setPassthroughClaimsWithNoMapping(passthroughClaimsWithNoMapping)

Si true (par défaut), pour chaque réclamation qui n’est pas mappée au profil commun, Auth0 passe par celles de l’assertion de sortie. Si false, ces réclamations ne seront pas mappées.

api.samlResponse.setMapUnknownClaimsAsIs(mapUnknownClaimsAsIs)

Si passthroughClaimsWithNoMapping est true et que ceci est false (par défaut), Auth0 ajoute un préfixe http://schema.auth0.com pour chaque demande qui n’est pas mappée avec le profil commun. Si true, la demande sera traitée telle quelle.

api.samlResponse.setMapIdentities(mapIdentities)

Si true (par défaut), cela ajoute plus d’informations dans le jeton tel que le fournisseur (Google, ADFS, AD, etc.) et le jeton d’accès, s’il est disponible

api.samlResponse.setDestination(destination)

Destination de la réponse SAML. Si elle n’est pas spécifiée, il s’agira de AssertionConsumerUrl du SAMLRequest ou de l’URL de rappel s’il n’y a pas eu de SAMLRequest.

api.samlResponse.setRelayState(relayState)

Modifie le RelayState de la réponse SAML. La valeur par défaut est RelayState sur SAMLRequest.

api.samlResponse.setLifetimeInSeconds(lifetimeInSeconds)

Expiration du jeton en secondes. La valeur par défaut est de 3600 secondes (1 heure).

api.samlResponse.setSignResponse(signResponse)

Indique si la réponse SAML doit être signée ou non. Par défaut, l’assertion SAML sera signée, mais pas la réponse SAML. Si true, la réponse SAML sera signée au lieu de l’assertion SAML. Valeur par défaut false.

api.samlResponse.setNameIdentifierFormat(nameIdentifierFormat)

Définit le format d’ID du nom. Valeur par défaut urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

api.samlResponse.setNameIdentifierProbes(nameIdentifierProbes)

Auth0 essaie de nommer chacun des attributs de ce tableau dans l’ordre. Si l’un d’entre eux a une valeur, il l’utilisera pour le Objet/NameID. L’ordre est le suivant :

1. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier (mappé à partir de user_id)
2. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress (mappé à partir de email)
3. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (mappé à partir de name)

api.samlResponse.setAuthnContextClassRef(authnContextClassRef)

Valeur par défaut urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified.

api.samlResponse.setSigningCert(signingCert)

Indique facultativement le certificat de clé publique utilisé pour valider les requêtes SAML. Si cette option est activée, les demandes SAML devront être signées. Une valeur d’exemple serait "-----BEGIN CERTIFICATE-----\nMIIC8jCCAdqgAwIBAgIJObB6jmhG0QIEMA0GCSqGSIb3DQEBBQUAMCAxHjAcBgNV\n[..all the other lines..]-----END CERTIFICATE-----\n".

api.samlResponse.setIncludeAttributeNameFormat(includeAttributeNameFormat)

Lorsque défini sur true, nous inférons le NameFormat sur la base du nom de l’attribut. Les valeurs NameFormat sont urn:oasis:names:tc:SAML:2.0:attrname-format:uri, urn:oasis:names:tc:SAML:2.0:attrname-format:basic et urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified.

S’il est défini à false, l’attribut NameFormat n’est pas défini dans l’assertion. Valeur par défaut true.

api.samlResponse.setTypedAttributes(typedAttributes)

Lorsque défini sur true, nous inférons le xs:type de l’élément. Les types sont xs:string, xs:boolean, xs:double et xs:anyType. Lorsqu’il est réglé sur false tous les xs:type sont xs:anyType. Valeur par défaut true.

api.samlResponse.setEncryptionCert(encryptionCert)

Indiquer éventuellement un certificat utilisé pour chiffrer l'assertion SAML. Le certificat doit être obtenu auprès du fournisseur de services. Le certificat et la clé publique doivent être spécifiés. Une valeur d’exemple serait "-----BEGIN CERTIFICATE-----\nMIIC8jCCAdqgAwIBAgIJObB6jmhG0QIEMA0GCSqGSIb3DQEBBQUAMCAxHjAcBgNV\n[..all the other lines..]-----END CERTIFICATE-----\n".

api.samlResponse.setCert(cert)

Par défaut, Auth0 utilise la paire de clés privée/publique attribuée à votre locataire pour signer les réponses ou assertions SAML. Pour des scénarios très spécifiques, vous pouvez souhaiter fournir votre propre certificat et votre propre clé privée.

Le certificat et la clé privée doivent être spécifiés.

Une valeur d’exemple serait "-----BEGIN CERTIFICATE-----\nMIIC8jCCAdqgAwIBAgIJObB6jmhG0QIEMA0GCSqGSIb3DQEBBQUAMCAxHjAcBgNV\n[..all the other lines..]-----END CERTIFICATE-----\n".

api.samlResponse.setKey(key)

Par défaut, Auth0 utilise la paire de clés privée/publique attribuée à votre locataire pour signer les réponses ou assertions SAML. Pour des scénarios très spécifiques, vous pouvez souhaiter fournir votre propre certificat et votre propre clé privée.

Cette clé privée étant sensible, il est recommandé d’utiliser la fonctionnalité Ajouter un secret d’Actions. Voir ici pour plus de détails : Rédigez votre première Action

Le certificat et la clé privée doivent être spécifiés.

Une valeur d’exemple serait "-----BEGIN PRIVATE KEY-----\nnMIIC8jCCAdqgAwIBAgIJObB6jmhG0QIEMA0GCSqGSIb3DQEBBQUAMCAxHjAcBgNV\n[..all the other lines..]-----END PRIVATE KEY-----\n".

api.samlResponse.setSignatureAlgorithm(signatureAlgorithm)

Obsolète: La valeur par défaut est rsa-sha256

api.samlResponse.setDigestAlgorithm(digestAlgorithm)

Obsolète: La valeur par défaut est sha256

api.session

Gérez les sessions, par exemple en révoquant une session utilisateur.

api.session.revoke(reason, options)

Rejetez la transaction en cours, révoquez la session et supprimez les jetons d’actualisation associés. Cela empêchera l’utilisateur de terminer le flux et aucune autre Action ne sera exécutée.

Remarque Cette méthode initie une session révoquée OIDC Back-Channel Logout Initiator pour déconnecter les utilisateurs de toutes les applications liées à la session en cours. La suppression des jetons d’actualisation associés à la session est une opération asynchrone.

Renvoie une référence à l’objet api.

api.session.revoke('reason', 
             {'preserveRefreshTokens':true} );

api.session.setExpiresAt(absolute)

Définit une nouvelle date d’expiration absolue pour une session donnée.

Renvoie une référence à l’objet api.

api.session.setIdleExpiresAt(idle)

Définit une nouvelle date d’expiration de l’inactivité pour une session donnée.

Renvoie une référence à l’objet api.

api.refreshToken

Gérer les jetons d’actualisation, comme en révoquant un jeton d’actualisation.

api.refreshToken.revoke(reason)

Rejeter l’échange de jeton en cours et révoquez le jeton d’actualisation Cela empêchera l’utilisateur de terminer le flux et aucune autre Action ne sera exécutée.

Renvoie une référence à l’objet api .

api.refreshToken.setExpiresAt(absolute)

Définit une nouvelle date d’expiration absolue pour un jeton d’actualisation spécifié.

Renvoie une référence à l’objet api.

api.refreshToken.setIdleExpiresAt(idle)

Définit une nouvelle date d’expiration de l’inactivité pour un jeton d’actualisation spécifié.

Renvoie une référence à l’objet api.