Universal Portals用のアプリケーションを構成する

各ポータルには、Auth0の通常のWebアプリケーションが1つずつ紐づいています。ポータルサーバーは、このアプリケーションの認証情報を使ってユーザーをサインインさせ、My Account APIとMy Organization APIのアクセストークンを取得します。アプリケーションとポータルは1対1で対応します。 Universal Portalsクイックスタートを使うと、通常のWebアプリケーションが自動で作成・設定されます。既存のアプリケーションをリンクしたい場合、設定をコードとして管理したい場合、または設定内容を確認したい場合は、このページを参照してください。

シナリオ別の要件

シナリオ	要件
コンシューマーポータル	My Account APIのスコープによるMy Account APIへのアクセス
ビジネスポータル	My Organization APIのスコープによるMy Organization APIへのアクセス、およびOrganizationコンテキストの設定
ネイティブアプリケーション	アプリケーションがセッション転送トークンを受け付けること。ネイティブアプリケーションを参照してください
ユーザーを更新するForm	Forms vault専用のマシンツーマシンアプリケーション。ユーザーを更新するFormを参照してください

ポータルが呼び出す各リソースサーバー (My Account APIとMy Organization API) には、次の2つが必要です。

クライアントへの認可：アプリケーションがスコープをリクエストできるようにします。
リフレッシュトークンポリシー：ポータルサーバーがを、そのリソースサーバー用のアクセストークンと交換できるようにします。

いずれかが欠けていると、コンポーネントがAPIエラーで失敗します。詳細については、「Multi-Resource Refresh Token」をお読みください。付与すべきスコープは、ポータルで使用するコンポーネントによって異なります。以下のリストには、サポート対象のコンポーネントに必要なスコープがすべて記載されています。使用しないコンポーネントのスコープは削除してください。各コンポーネントのスコープについては、「Portal Components Library Reference」をお読みください。

My Account APIのスコープ

オーディエンス：https://YOUR_DOMAIN/me/

read:me:factors
read:me:authentication_methods
create:me:authentication_methods
delete:me:authentication_methods

My Organization APIのスコープ

オーディエンス：https://YOUR_DOMAIN/my-org/

read:my_org:details
update:my_org:details
read:my_org:configuration
read:my_org:domains
create:my_org:domains
update:my_org:domains
delete:my_org:domains
read:my_org:identity_providers
create:my_org:identity_providers_domains
delete:my_org:identity_providers_domains

推奨設定

ポータルアプリケーションには、以下の設定を使用してください。リフレッシュトークンの有効期間はポータルのセッションに合わせて、無操作時は1時間、合計で1日としています。スコープは Portal で使用するコンポーネントに必要なものだけを付与し、Portal が呼び出さないリソースサーバーについては、そのポリシーとグラントを削除してください。

Auth0 Dashboard
Management API

アプリケーションを作成する

Auth0 Dashboard > Integration > Applicationsに移動してCreate Applicationを選択し、Regular Web Applicationsを選んで名前を入力します。

URLを設定する

Settingsタブで、Allowed Callback URLsにhttps://YOUR_DOMAIN/portals/auth/callbackを設定します。Allowed Logout URLsには、アプリケーションのURLを設定します。これは、ユーザーがPortalからログアウトした後に移動する先です。

トークンエンドポイントのIPヘッダーを信頼する

CredentialsタブのAdvancedで、Trust token endpoint IP headerを有効にします。

グラントタイプを設定する

Advanced Settings > Grant Typesで、Authorization Code、Refresh Token、MFAを有効にします。その他のグラントタイプはすべて無効のままにしておきます。

リフレッシュトークンの有効期間を設定する

Refresh Token ExpirationでSet Idle Refresh Token Lifetimeを有効にし、3600秒と入力します。続いてSet Maximum Refresh Token Lifetimeを有効にし、86400秒と入力します。リフレッシュトークンのローテーションは、デフォルトのまま無効にしておきます。

Organizationsを許可する

Organizationsタブで、Type of UsersをBothに、Login FlowをNo Promptに設定します。

APIアクセスを付与する

API Accessタブで、My Account APIとMy Organization APIへのユーザーアクセスを認可します。その際、シナリオ別の要件に記載されたスコープを指定してください。

Multi-Resource Refresh Tokenを有効にする

Multi-Resource Refresh Tokenで、同じAPIとスコープを有効にします。最後にSave Changesを選択します。

アプリケーションを作成します。ペイロードでは、新しい通常のWebアプリケーションのデフォルトとは異なる値と、両方のリソースサーバーのリフレッシュトークンポリシーを設定します。APIでは、refresh_tokenを送信する際には必ずrotation_typeも指定する必要があります。

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/clients" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "name": "{portalName} (Universal Portals)",
    "app_type": "regular_web",
    "oidc_conformant": true,
    "callbacks": ["https://YOUR_DOMAIN/portals/auth/callback"],
    "allowed_logout_urls": ["{yourApplicationUrl}"],
    "grant_types": [
      "authorization_code",
      "refresh_token",
      "http://auth0.com/oauth/grant-type/mfa-oob",
      "http://auth0.com/oauth/grant-type/mfa-otp",
      "http://auth0.com/oauth/grant-type/mfa-recovery-code"
    ],
    "token_endpoint_auth_method": "client_secret_post",
    "is_token_endpoint_ip_header_trusted": true,
    "organization_usage": "allow",
    "refresh_token": {
      "rotation_type": "non-rotating",
      "expiration_type": "expiring",
      "token_lifetime": 86400,
      "idle_token_lifetime": 3600,
      "policies": [
        {
          "audience": "https://YOUR_DOMAIN/me/",
          "scope": [
            "read:me:factors",
            "read:me:authentication_methods",
            "create:me:authentication_methods",
            "delete:me:authentication_methods"
          ]
        },
        {
          "audience": "https://YOUR_DOMAIN/my-org/",
          "scope": [
            "read:my_org:details",
            "update:my_org:details",
            "read:my_org:configuration",
            "read:my_org:domains",
            "create:my_org:domains",
            "update:my_org:domains",
            "delete:my_org:domains",
            "read:my_org:identity_providers",
            "create:my_org:identity_providers_domains",
            "delete:my_org:identity_providers_domains"
          ]
        }
      ]
    }
  }'

次に、リソースサーバーごとにクライアントへの認可を作成します。以下の例では、My Account APIへのアクセスを許可しています。オーディエンスをhttps://YOUR_DOMAIN/my-org/に、スコープをMy Organization APIのものに置き換えて、同じ手順を繰り返してください。

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/client-grants" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "client_id": "{portalClientId}",
    "audience": "https://YOUR_DOMAIN/me/",
    "subject_type": "user",
    "scope": [
      "read:me:factors",
      "read:me:authentication_methods",
      "create:me:authentication_methods",
      "delete:me:authentication_methods"
    ]
  }'

変更してはいけない設定

これらの設定はPortalの動作に関わるため、変更しないでください。

その他のアプリケーション設定もPortalの動作に影響する場合があります。変更を加える際は、必ず先に開発用テナントでテストしてください。

DPoPを有効にしないでください。 Portalサーバーは機密クライアントであり、sender-constrainedトークンを使用しません。
リフレッシュトークンのローテーションを有効にしないでください。 Portalはこの機能に対応していません。
複数のPortalで1つのアプリケーションを共有しないでください。 Portalごとに専用のアプリケーションが必要です。
リフレッシュトークンの無操作有効期間を1時間未満に設定しないでください。 Portalのセッションは、無操作状態が1時間続くと終了します。リフレッシュトークンの有効期間がこれより短いと、Portalがユーザーに再サインインを求める前にAPI呼び出しが失敗してしまいます。
Portalで使用しないグラントタイプやスコープを追加しないでください。 たとえば、client_credentialsグラントは有効にしないでください。
PortalアプリケーションにManagement APIグラントを追加しないでください。 ユーザーを更新するFormには、別途マシンツーマシンアプリケーションを使用してください。

シナリオ別の設定

ユースケースによっては、ポータルアプリケーションに追加の設定が必要です。このセクションのシナリオを確認し、ユーザーがポータルにアクセスする方法に応じた設定を適用してください。

ネイティブアプリケーション

ネイティブアプリケーションからポータルを開くには、URLで渡されるセッション転送トークンをポータルアプリケーションが受け入れられるようにする必要があります。ポータルアプリケーションに以下を追加してください。

{
  "session_transfer": {
    "allowed_authentication_methods": ["query"],
    "enforce_device_binding": "ip"
  }
}

セッション転送トークンを作成するように、ネイティブアプリケーションを構成します。詳しくは、ネイティブからWebへのSSOを構成・実装するを参照してください。その後、ポータルにアクセスするの手順に従ってください。

Organization コンテキスト

organization パラメーターを指定してポータルを開くには、ポータルアプリケーションで Organizations を許可しておく必要があります：

{
  "organization_usage": "allow"
}

推奨設定にはこの値がすでに含まれており、ログインフローはデフォルトで no_prompt になっています。この設定では、ビジネス向けの Portal を開く際に必ず organization を送信してください。詳しくは、組織の動作を定義するおよびPortal にアクセスするをご覧ください。

ユーザーを更新するForm

フローでユーザーを更新するFormは、Forms vault接続を介してManagement APIを呼び出します。この接続には専用のマシンツーマシンアプリケーションを作成し、update:usersやupdate:users_app_metadataなど、フローに必要なスコープだけを付与してください。詳しくは、Auth0 Vault接続を参照してください。

アプリケーションをPortalにリンクする

Auth0 Dashboard
Management API

Auth0 Dashboard > Portalsに移動してCreate Portalを選択するか、既存のPortalを開きます。
NameとSlugを入力し、アプリケーションを選択します。スラッグはポータルURLの一部として使用されます。
Createを選択します。

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/portals" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "name": "{portalName}",
    "slug": "{slug}",
    "client": {
      "token_endpoint_auth_method": "client_secret_post",
      "client_id": "{portalClientId}",
      "client_secret": "{portalClientSecret}"
    }
  }'

client_secretは書き込み専用で、Auth0から返されることはありません。ポータルAPIでサポートされているのはclient_secret_postのみです。slugが重複している場合は409 Conflictが返されます。

有効な接続を確認する

ユーザーは、ポータルアプリケーションで有効になっている任意の接続を使ってPortalにサインインできます。Portalを共有する前に、ユーザーが必要とする接続が少なくとも1つ有効になっていることを確認してください。

Auth0 Dashboard > アプリケーションに移動し、ポータルアプリケーションを選択します。
［接続］タブを選択します。
ユーザーが必要とする接続をオンにします。有効な接続が1つもない場合、ユーザーはPortalにサインインできません。

詳細については、「アプリケーション接続を更新する」をお読みください。

［Enable Application Connections］テナント設定がオンの場合、クイックスタートで作成される接続を含め、テナントに現在あるすべての接続がポータルアプリケーションに割り当てられます。詳細については、「テナント設定」をお読みください。

設定を確認する

https://YOUR_DOMAIN/portals/{slug} を開き、テストユーザーでサインインします。次に、Universal Component を含むページを開きます。コンポーネントにエラーが表示される場合は、Universal Portals のトラブルシューティングを参照してください。

次のステップ

Universal Portalsのトラブルシューティング

APIエラー、サインインの問題、Organizationに関する問題を解決します。

Portalsへのアクセス

アプリケーションからPortalへユーザーを誘導します。

ブランドのカスタマイズ

コードをカスタマイズする

サードパーティによるカスタマイズ

Universal Portals用のアプリケーションを構成する

シナリオ別の要件

推奨設定

変更してはいけない設定

シナリオ別の設定

ネイティブアプリケーション

Organization コンテキスト

ユーザーを更新するForm

アプリケーションをPortalにリンクする

有効な接続を確認する

設定を確認する

次のステップ

Universal Portalsのトラブルシューティング

Portalsへのアクセス

​シナリオ別の要件

​推奨設定

​変更してはいけない設定

​シナリオ別の設定

​ネイティブアプリケーション

​Organization コンテキスト

​ユーザーを更新するForm

​アプリケーションをPortalにリンクする

​有効な接続を確認する

​設定を確認する

​次のステップ

Universal Portalsのトラブルシューティング

Portalsへのアクセス

シナリオ別の要件

推奨設定

変更してはいけない設定

シナリオ別の設定

ネイティブアプリケーション

Organization コンテキスト

ユーザーを更新するForm

アプリケーションをPortalにリンクする

有効な接続を確認する

設定を確認する

次のステップ