OIDCバックチャネルログアウトイニシエータ

OIDCバックチャネルログアウトイニシエータを使用すると、セッション終了イベントに基づいて、ユーザーをリモートでアプリケーションからログアウトさせることができます。OIDCバックチャネルログアウトイニシエータは、IDプロバイダー（IdP）起点のSAMLログアウト要求など、プロトコルを超えて動作し、サードパーティーのクッキー制限には影響されません。

この機能はOIDCバックチャネルの標準仕様を拡張したものです。この機能を構成すると、パスワードの変更やセッションの期限切れなどの特定のセッション終了イベント、またはすべてのセッション終了イベントに対して、OIDCバックチャネルログアウト要求を開始できるようになります。

管理者はAuth0 Management APIを使って、特定のアプリケーションに対してこの機能を有効にすることができます。

イニシエータは、OIDCバックチャネルログアウト応答をセッション終了イベントにバインドします。イベントをキャプチャして、対象のセッションに関連付けられているすべてのアプリケーションでOIDCログアウトトークンをトリガーするのに使用します。

下の図は、パスワード変更イベントについて、OIDCバックチャネルログアウトイニシエータの動作をまとめたものです。

OIDCバックチャネルログアウトイニシエータはAuth0 Management APIを使って構成することができます。

Auth0 Management APIでOIDCバックチャネルログアウトイニシエータを構成するには、クライアント更新エンドポイントを使用します。

1. update:clientsスコープを持つManagement APIアクセストークンを取得します。

2. ペイロードに適切な構成データを含めて、クライアント更新エンドポイントを呼び出します。たとえば、パスワード変更イベントの後でアプリケーションからログアウトさせるには、以下を提供します。

   codeblockOld.header.login.logInButton codeblockOld.header.login.configureSnippet

   PATCH /api/v2/clients/{yourClientId}
   {
     ...
     "oidc_logout": {
       "backchannel_logout_urls": ["https://example.com/cb"]
       "backchannel_logout_initiators": {
         "mode":"custom",
         "selected_initiators": ["rp-logout", "idp-logout", "password-changed"]
       }
     }
     ...
   }

   Was this helpful?

   Yes /No

backchannel_logout_initiatorsオブジェクトは以下のプロパティをサポートしています。

modeプロパティはイニシエータを有効化するための構成メソッドを定義します。

デフォルトではcustomに設定され、有効化したいイニシエータを指定できるようになっています。IdPセッションの終了後に必ずアプリケーションをログアウトさせたい場合には、allに設定します。

modeプロパティは以下の値をサポートしています。

selected_initiatorsプロパティには、指定されたアプリケーションに対して有効化するイニシエータのリストが含まれます。

selected_initiatorsプロパティは以下の値をサポートしています。

PATCH /api/v2/clients/{yourClientId}

{
  ...
  "oidc_logout": {
    "backchannel_logout_urls": ["https://example.com/cb"]
    "backchannel_logout_initiators": {
      "mode":"all"
    }
  }
  ...
}

PATCH /api/v2/clients/{yourClientId}

{
  ...
  "oidc_logout": {
    "backchannel_logout_urls": ["https://example.com/cb"]
    "backchannel_logout_initiators": {
      "mode":"custom",
      "selected_initiators": ["rp-logout", "idp-logout", "password-changed"]
    }
  }
  ...
}

PATCH /api/v2/clients/{yourClientId}

{
  ...
  "oidc_logout": {
	  "backchannel_logout_urls": ["https://example.com/cb"]
  }
  ...
}

OpenID Connectバックチャネルログアウトは他のアプリケーション設定と並行して構成できます。この機能は、バックチャネルログアウトURIが提供されると、自動的にアクティブ化されます。

必要なイニシエータ（rp-logoutとidp-logout）のみがデフォルトで登録されます。他の追加のイニシエータは、未来に追加されるものも含めて、前もって選択しておかないと、アプリケーションからログアウトを開始できません。

選択したイニシエータについてのみアプリケーションをログアウトさせたい場合には、このオプションを選択します。

すべてのサポートされているイニシエータが、未来に追加されるものも含めて、デフォルトで登録されます。

IdPセッションの終了時に必ずアプリケーションをログアウトさせたい場合には、このオプションを選択します。