Configurer l’authentification par clé privée JWT

Vous pouvez utiliser Auth0 Dashboard pour créer une nouvelle application et configurer des identifiants ou mettre à jour une application existante.

Nous vous recommandons de stocker en toute sécurité le paramètre client_secret actuel avant de définir la méthode d’identification de votre application sur la clé privée JWT. Le paramètre client_secret sera masqué une fois la configuration de la clé privée JWT terminée.

Configurer une nouvelle application pour private_key_jwt

1. Naviguez vers Auth0 Dashboard > Applications > Applications.

2. Sélectionnez Create Application (Créer une application).

3. Choisissez votre type d’application.

4. Dans les paramètres de l’application, sélectionnez l’onglet Identifiants.

5. Sous Méthodes d’authentification, sélectionnez Clé privée JWT.

   

6. Configurer les détails de l’identifiant :

   1. Entrez un nom pour l’identifiant.

   2. Téléversez votre certificat en format PEM ou X.509.

   3. Sélectionnez l’algorithme pour signer les assertions.

   4. Facultatif : Activez l’expiration personnalisée. Sélectionnez Set an explicit expiry date for this Credential (Définir une date d’expiration explicite pour cet identifiant) et définissez une date dans le futur.

      Vous pouvez recevoir une erreur de certificat invalide si vous soumettez un matériel de clé malformé. Pour éviter tout problème, il est préférable de téléverser le fichier directement créé par OpenSSL.

7. Sélectionnez Add Credential (Ajouter l’identifiant).

Configurer une application existante

1. Naviguez jusqu’à Auth0 Dashboard > Applications.

2. Sélectionnez l’application à mettre à jour.

3. Sélectionnez l’onglet Credentials (Identifiants).

4. Choisissez Clé privée JWT.

5. Configurer les détails de l’identifiant :

   1. Entrez un nom pour l’identifiant.

   2. Téléversez votre certificat en format PEM ou X.509.

   3. Sélectionnez l’algorithme pour signer les assertions.

   4. Facultatif : Activez l’expiration personnalisée. Sélectionnez Set an explicit expiry date for this Credential (Définir une date d’expiration explicite pour cet identifiant) et définissez une date dans le futur.

6. Sélectionnez Add Credential (Ajouter l’identifiant).

Configurer une application pour qu’elle utilise l’authentification secret client

1. Naviguez vers Auth0 Dashboard > Applications > Applications et sélectionnez l’application que vous voulez mettre à jour.

2. Sélectionnez l’onglet Credentials (Identifiants).

3. Choisissez Client Secret Post (Secret client Post) ou Client Secret Basic (Secret client Basic).

4. Sélectionnez Save (Enregistrer).

Mettre à jour la date d’expiration de l’identifiant

Vous pouvez mettre à jour un identifiant existant en y ajoutant une date d’expiration dans Auth0 Dashboard.

1. Naviguez vers Auth0 Dashboard > Applications > Applications et sélectionnez l’application que vous voulez mettre à jour.

2. Sélectionnez l’onglet Credentials (Identifiants).

3. Choisissez l’identifiant que vous voulez mettre à jour et sélectionnez Edit Credential (Modifier l’identifiant).

   

4. Sélectionnez Set an explicit expiry date for this Credential (Définir une date d’expiration explicite pour cet identifiant) et définissez une date ultérieure.

5. Sélectionnez Update Credential (Mettre à jour l’identifiant).

Configurer une nouvelle application pour private_key_jwt

Vous pouvez créer une nouvelle application avec private_key_jwt comme méthode d’authentification à l’aide de Management API. Effectuez un appel POST au point de terminaison Create a Client avec la charge utile suivante :

curl --location --request POST 'https://{domain}/api/v2/clients' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
 "name": "{clientName}",
 "app_type": "non_interactive",
 "client_authentication_methods": {
   "private_key_jwt": {
     "credentials": [
       { 
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialublicKey}",
          "alg": "{algorithm}",
          "expires_at": "{expiresAt}"
       }
     ]
   },
   "jwt_configuration": {
     "alg": "RS256"
   }
 }
}'

La réponse contient la propriété client_id, qui liera votre application au serveur de ressources. La réponse contient également un kid généré pour l’identifiant que vous avez créé. Celui-ci sera utilisé plus tard pour générer la valeur client_assertion.

Configurer une application existante

Vous pouvez aussi configurer une application existante pour utiliser l’authentification par clé privée JWT avec Auth0 Management API. Vous devrez retirer les valeurs du champ token_endpoint_auth_method et créer des valeurs dans le champ client_authentication_methods.

Créer la ressource d’identification

Une fois que vous avez généré une paire de clés, créez la ressource d’identification. Effectuez la demande POST suivante au point de terminaison /clients de Management API.

curl --location --request POST 'https://{domain}/api/v2/clients/{clientId}/credentials' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialPublicKey}",
          "alg": "{algorithm}",
          "expires_at ": "{expiresAt}",
}'

----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA53VzmIVVZZWyNm266l82
mnoDc9g/snXklax5kChEhqK/WnTUvuXP4Gd4THj8rchxgUGKXd4PF3SUcKyn/qPm
Tet0idVHk2PwP//FOVgYo5Lb04js0pgZkbyB/WjuMp1w+yMuSn0NYAP7Q9U7DfTb
jmox8OQt4tCB4m7UrJghGqT8jkPyZO/Ka6/XsyjTYPOUL3t3PD7JShVAgo1mAY6g
Sr4SORywIiuHsg+59ad7MXGy78LirhtqAcDECKF7VZpxMuEjMLg3o2yzNUeWI2Mg
IF+t0HbO1E387fvLcuSyai1yWbSr1PXyiB2aXyDpbD4u7d3ux4ahU2opH11lBqvx
+wIDAQAB
-----END PUBLIC KEY-----

Un identifiant est retourné dans la réponse. Utilisez l’identifiant pour l’étape suivante.

Association de l’identifiant

Une fois que vous avez créé l’identifiant, associez-le à votre application. Votre application utilise ces identifiants pendant l’authentification avec private_key_jwt.

Effectuez une requête PATCH au point de terminaison Update a Client de Management API :

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": null, 
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": {credentialId} }]
             }
          }
   }​​'​​

Configurer une application pour qu’elle utilise l’authentification par secret client

Pour restaurer la configuration de votre application afin qu’elle utilise un secret client, vous devez désactiver client_authentication_methods et activer à nouveau token_endpoint_auth_method avec la méthode d’authentification.

Exemple

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": "{tokenEndpointAuthMethod}", 
          "client_authentication_methods": null
   }​​'​​

Ajout d’un champ d’expiration comme correctif pour les identifiants

Vous pouvez mettre à jour un identifiant existant avec une date d’expiration à l’aide du point de terminaison Mettre à jour un identifiant de Management API.

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId}/credentials/{credentialId} ' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "expires_at": {expiresAt}
   }'

| Paramètre | Description | | ---------- | ---------- | |managementApiAccessToken| Jetons d’accès à Management API avec les permissions update:credentials.| |clientId| Le client que vous souhaitez mettre à jour.| |expires_at|La date d’expiration des identifiants est au format ISO 8601. Par exemple, 2020-08-20T19:10:06.299Z.|

Le champ expires_at est le seul que vous pouvez mettre à jour. Le reste des attributs sont immuables et nécessitent une rotation de l’identifiant pour être modifiés.