秘密鍵JWT認証の設定

Auth0 Dashboardを使用して、新しいアプリケーションを作成することができ、資格情報の構成や既存アプリケーションの更新にも使用できます。

秘密鍵JWTにアプリケーション資格情報方法を設定する前に、現在のclient_secretパラメーターを安全に保存することをお勧めします。client_secretパラメーターは、秘密鍵JWTの構成が完了すると非表示になります。

private_key_jwtに対する新しいアプリケーションの構成

1. ［Auth0 Dashboard］ > ［Applications（アプリケーション）］ > ［Application（アプリケーション）］に移動します。

2. ［Create Application（アプリケーションの作成）］を選択します。

3. アプリケーションタイプを選択します。

4. アプリケーション設定の下にある、［Credentials（資格情報）］タブを選択します。

5. ［Authentication Methods（認証方法）］の下にある、［Private Key JWT（秘密鍵JWT）］を選択します。

   

6. 資格情報の詳細を構成します。

   1. 資格情報の名前を入力します。

   2. PEMフォーマットまたはX.509証明書をアップロードします。

   3. アサーションに署名するアルゴリズムを選択します。

   4. 任意：カスタム有効期限を有効にします。［Set an explicit expiry date for this Credential（この資格情報への明確な有効期限の設定）］を選択し、未来の日付を設定します。

      不正な形式のキーマテリアルを送信すると、無効な証明書のエラーを受け取る可能性があります。問題を回避するには、opensslで作成したファイルを直接アップロードしてください。

7. ［Add Credential（資格情報の追加）］を選択します。

既存のアプリケーションの構成

1. ［Auth0 Dashboard］ > ［Applications（アプリケーション）］に移動します。

2. 更新したいアプリケーションを選択します。

3. ［Credentials（資格情報）］タブを選択します。

4. ［Private Key JWT（秘密鍵JWT）］を選択します。

5. 資格情報の詳細を構成します。

   1. 資格情報の名前を入力します。

   2. PEMフォーマットまたはX.509証明書をアップロードします。

   3. アサーションに署名するアルゴリズムを選択します。

   4. 任意：カスタム有効期限を有効にします。［Set an explicit expiry date for this Credential（この資格情報への明確な有効期限の設定）］を選択し、未来の日付を設定します。

6. ［Add Credential（資格情報の追加）］を選択します。

クライアントシークレット認証の使用のためのアプリケーションの構成

1. ［Auth0 Dashboard］ > ［Applications（アプリケーション）］ > ［Applications（アプリケーション）］に移動し、更新したいアプリケーションを選択します。

2. ［Credentials（資格情報）］タブを選択します。

3. クライアントシークレット（Post）またはクライアントシークレット（Basic）を選択します。

4. ［Save（保存）］を選択します。

資格情報の有効期限の更新

Auth0 Dashboardで、既存の資格情報の有効期限を更新できます。

1. ［Auth0 Dashboard］ > ［Applications（アプリケーション）］ > ［Applications（アプリケーション）］に移動し、更新したいアプリケーションを選択します。

2. ［Credentials（資格情報）］タブを選択します。

3. 更新したい資格情報を選択し、［Edit Credential（資格情報の編集）］を選択します。

   

4. ［Set an explicit expiry date for this Credential（この資格情報への明確な有効期限の設定）］を選択し、未来の日付を設定します。

5. ［Update Credential（資格情報の更新）］を選択します。

private_key_jwtに対する新しいアプリケーションの構成

Management APIを使用して、認証方法をprivate_key_jwtに設定し、新しいアプリケーションを作成できます。次のペイロードでクライアントの作成エンドポイントにPOSTを呼び出します。

curl --location --request POST 'https://{domain}/api/v2/clients' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
 "name": "{clientName}",
 "app_type": "non_interactive",
 "client_authentication_methods": {
   "private_key_jwt": {
     "credentials": [
       { 
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialublicKey}",
          "alg": "{algorithm}",
          "expires_at": "{expiresAt}"
       }
     ]
   },
   "jwt_configuration": {
     "alg": "RS256"
   }
 }
}'

応答には、client_idプロパティを含み、アプリケーションをリソースサーバーに紐づけます。また、応答には、資格情報のために作成した生成kidを含みます。これはのちほど、client_assertionを生成するために使用します。

既存のアプリケーションの構成

また、既存のアプリケーションを構成し、Auth0 Management APIで秘密鍵JWT認証を使用できます。これにはtoken_endpoint_auth_methodフィールドのすべての値を削除し、client_authentication_methodsフィールドに値を作成する必要があります。

資格情報リソースの作成

キーペアを生成したら、資格情報リソースを作成します。Management APIの/clientsエンドポイントに次のPOST要求をします。

curl --location --request POST 'https://{domain}/api/v2/clients/{clientId}/credentials' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialPublicKey}",
          "alg": "{algorithm}",
          "expires_at ": "{expiresAt}",
}'

| パラメーター | 説明 | | ---------- | ---------- | |algorithm| アサーションの署名に使用するアルゴリズム。サポート値はRS256、RS384、PS256です。指定されていない場合、アルゴリズムのデフォルトはRS256です。| |clientId| 更新されるアプリケーションのID。| |credentialName| 公開鍵の名前。| |managementApiAccessToken| create:credentialsスコープを持つ［Management APIのアクセストークン］（/secure/tokens/access-tokens/management-api-access-tokens）。| |pem| PEM形式でエンコードされた公開鍵またはx.509証明書。| |expires_at| 任意。ISO 8601形式の資格情報の有効期限です。例えば、2020-08-20T19:10:06.299Zです。有効期限が過ぎると、資格情報は無効になります。| |parse_expiry_from_cert| 任意。証明書を指定されたときにAuth0が構造解析をする有効期限のブール値を示します。証明書が指定されない場合、Auth0はエラーを返します。また、parse_expiry_from_certとexpires_atは相互排他的です。その場合、Auth0はエラーを返します。|

::: ::: 注意 公開鍵 PEM公開鍵は、Auth0に渡す前にJSON-escapedである必要があります。この例では、渡す必要のあるコンテンツは次の通りです：

----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA53VzmIVVZZWyNm266l82
mnoDc9g/snXklax5kChEhqK/WnTUvuXP4Gd4THj8rchxgUGKXd4PF3SUcKyn/qPm
Tet0idVHk2PwP//FOVgYo5Lb04js0pgZkbyB/WjuMp1w+yMuSn0NYAP7Q9U7DfTb
jmox8OQt4tCB4m7UrJghGqT8jkPyZO/Ka6/XsyjTYPOUL3t3PD7JShVAgo1mAY6g
Sr4SORywIiuHsg+59ad7MXGy78LirhtqAcDECKF7VZpxMuEjMLg3o2yzNUeWI2Mg
IF+t0HbO1E387fvLcuSyai1yWbSr1PXyiB2aXyDpbD4u7d3ux4ahU2opH11lBqvx
+wIDAQAB
-----END PUBLIC KEY-----

:::

資格情報IDが応答を返します。次のステップにIDを使用します。

資格情報の関連付け

資格情報を作成したら、それをアプリケーションに関連付けます。private_key_jwtを使用した認証中に、アプリケーションはこれらの資格情報を使用します。

Management APIのクライアントの更新エンドポイントにPATCH要求を行います。

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": null, 
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": {credentialId} }]
             }
          }
   }​​'​​

クライアントシークレット認証の使用のためのアプリケーションの構成

クライアントシークレットを使用するようにアプリケーション構成を復元するには、client_authentication_methodsを無効にし、認証方法でtoken_endpoint_auth_methodを再有効にする必要があります。

例

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": "{tokenEndpointAuthMethod}", 
          "client_authentication_methods": null
   }​​'​​

有効期限フィールドに資格情報をパッチする

Management APIの 資格情報の更新エンドポイントで有効期限付きの既存の資格情報を更新できます。

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId}/credentials/{credentialId} ' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "expires_at": {expiresAt}
   }'

| パラメーター | 説明 | | ---------- | ---------- | |managementApiAccessToken| update:credentialsスコープを持つManagement APIのアクセストークン。| |clientId| 更新したいクライアント。| |expires_at|ISO 8601形式の資格情報の有効期限。たとえば、2020-08-20T19:10:06.299Zです。|

更新できる唯一のフィールドはexpires_atフィールドです。残りの属性は不変で、変更するには資格情報をローテーションする必要があります。