B2B Connect - エンタープライズ

​

メリット

1. 厳格なセキュリティと相互運用性を維持する。
2. 非の打ちどころのない顧客オンボーディングとライフサイクル体験を提供する。
3. 自社のコア製品のイノベーションを解き放ち、加速させる。

​

ユースケース

• 既存の認可サーバーにエンタープライズ SSO を追加する
• エンタープライズ顧客向けにセルフサービス型のオンボーディングを提供する
• 既存のログイン体験とトークン発行をそのまま維持する
• アプリケーションの IDトークンをエンタープライズのクレームで強化する
• 検証済みのメールドメインに基づいてユーザーをエンタープライズ IdP へ振り分ける
• アイデンティティ管理を B2B 顧客に委任する
• IPSIE に準拠したセッション管理と Universal Logout をサポートする

​

仕組み

1. ユーザーがアプリケーションでログインを開始します。
2. アプリケーションは既存のフローを使用して、認可サーバーに認証リクエストを送信します。
3. 認可サーバーはそのユーザーを B2B Connect - エンタープライズ のユーザーとして識別し、リクエストを Auth0 にルーティングします。
4. Auth0 B2B Connect - エンタープライズ は、SAML または OpenID Connect (OIDC) を使用して、ユーザーの企業 IdP (Okta、Microsoft Entra ID、Google Workspace、PingFederate など) に認証リクエストを送信します。
5. ユーザーは企業 IdP で社内の資格情報を使用して認証します。
6. 企業 IdP は SAML アサーションまたは OIDC トークンを Auth0 B2B Connect - エンタープライズ に返します。
7. 認可サーバーは自身のトークンをアプリケーションに返します。
8. アプリケーションはトークンを検証し、独自のセッションを確立します。
9. ユーザーにアプリケーションへのアクセスが許可されます。

​

サポートされているエンタープライズ接続

• SAML
• OIDC
• Okta Workforce
• Microsoft Entra ID (Azure AD)
• Google Workspace
• Active Directory / LDAP
• ADFS
• PingFederate

​

B2B Connect - エンタープライズを統合する

​

カスタム認可サーバー

Application → Custom Auth Server → Auth0 B2B Connect - Enterprise → Enterprise IdP
                    ↑                         |
                    └─────── identity ────────┘

1. 名前と種類: 統合に名前を付け、Custom Authorization Server を選択します。
2. 認証: OIDC (推奨) または SAML を選択します。
3. Auth0 を IdP として設定: Auth0 が認可サーバーのIDプロバイダーとして機能できるよう、認可サーバー側の値を入力します。
   • OIDC: 発行者 URL とアプリケーションの Callback URL。
   認可サーバーが発行者ディスカバリーに対応していない場合は、Show individual endpoints を展開して、Authorization URL、Token URL、Client ID、Client Secret を取得してください。
   • SAML: 発行者、Identity Provider SHA1 Fingerprint、Identity Provider Login URL、Auth0 証明書または IdP メタデータ、およびアプリケーションの Callback URL。
4. 統合の作成完了: 続いて Organizations と セルフサービスエンタープライズ構成 (SSEC) をセットアップし、最初の B2B 顧客をオンボーディングしましょう。

​

サードパーティー管理型の認可サーバー

Application → Third-party Auth Server → Auth0 B2B Connect - Enterprise → Enterprise IdP
                    ↑                              |
                    └──────────identity ───────────┘

• Amazon Cognito
• PingIdentity PingOne
• Ory
• Keycloak
• Transmit Security

1. 名前と種類: 統合に名前を付け、Third-party Managed Authorization Serverを選択します。
2. 認証プロトコル: OIDC (推奨) またはSAMLを選択します。
3. Auth0をIdPとして設定: 項目はタイプ1のOIDCまたはSAMLと同じです。管理型認可サーバーに、Auth0をアップストリームのIDプロバイダーとして登録します。
4. 統合の作成完了: 続いてOrganizationsとSSECのセットアップに進みます。

​

アプリケーション

Application (embeds Auth0 SDK) → Auth0 B2B Connect - Enterprise → Enterprise IdP
         ↑                                    |
         └──────────── identity ──────────────┘

1. 名前とタイプ: 統合に名前を付け、Applicationを選択します。
2. 統合の構成: 許可するCallback URLを入力します。Auth0は認証後、ユーザーをこれらのURLにリダイレクトします。URLは1つ以上指定する必要があります。
3. セットアップの続行: 統合が作成されました。クイックスタートに従って、アプリケーションにLogin with SSOボタンを追加し、OrganizationsとSSECを構成します。

​

顧客オンボーディングを構成する

1. Auth0 Dashboardで、B2B Connectに移動します。Organizationsタブで、セットアップを選択します。
2. セルフサービス・エンタープライズ構成プロファイルの名前を入力します。
   
3. 任意。説明を追加します。
4. Auth0は、SSECプロファイルの名前を付けたユーザー属性プロファイル (UAP) を作成します。続行を選択します。
5. SSECチケットの生成方法を選択します。
   • API統合
   • Auth0 Dashboard
6. 完了を選択します。

​

Auth0 Organization の作成または設定

​

新しい Auth0 Organization を作成する

1. +Create Organization を選択します。API 統合の手順を確認する場合は <> の記号を選択します。
2. エンドユーザーに表示される Name を入力します。
3. 省略可。Display Name を入力します。省略した場合、Display Name には Organization 名が使用されます。
4. オンボーディングチケットを作成しない場合は、Create を選択します。
5. この Organization のオンボーディングチケットを作成する場合は、次の手順に従います。
   • チェックボックスを選択し、Create and Continue を選択します。
   • Connection Name と Display Name を追加します。
   • Create and Continue を選択します。
   • チケットの URL をコピーし、B2B の顧客に共有します。Copy and Close を選択します。
6. 顧客の管理者はチケットの URL から セルフサービスアシスタント を起動し、手順に従って接続を構成し、ドメイン検証を完了します。
   

​

既存の Auth0 Organization を構成する

1. B2B Connect - エンタープライズで、一覧から構成対象の Organization のアイコンを選択します。
2. Connection Name と Display Name を入力します。
3. [Create and Continue] を選択します。
4. チケット URL をコピーし、B2B のお客様に共有します。[Copy and Close] を選択します。
5. お客様の管理者がチケット URL からセルフサービスアシスタントを起動し、表示される手順に従って接続を構成し、ドメイン検証を完了します。

​

Auth0 Events

​

ライフサイクルイベントの構成

1. Auth0 Dashboardで、Event Streams に移動します。
2. + Create Event Stream を選択します。
3. 配信先として Webhooks、AWS EventBridge、Auth0 Actions のいずれかを選択します。
4. 構成内容を入力し、受信するイベントのカテゴリーを選択します。
   • ユーザーイベント：user.created、user.deleted、user.updated
   • Organizationイベント：organization.created、organization.deleted、organization.member.*、organization.updated
   • 接続イベント：connection.created、connection.deleted、connection.updated
5. Save を選択します。

​

Auth0 SDK の統合

​

対応SDK

​

統合パターン

• ステートレスモード: サーバー SDK ではセッションストア (stateStore / state_store) を使用しません。コールバックメソッド (completeInteractiveLogin / complete_interactive_login) がユーザークレームと IDトークンを直接返すため、getSession() ではなく戻り値からアイデンティティを読み取ってください。
• リフレッシュトークンなし: B2B Connect - エンタープライズ はリフレッシュトークンを発行しません。scope には openid profile email を指定し、offline_access は省略してください。
• Organization が必須: /authorize に organization を渡すことで、ログインを正しい Auth0 Organization に紐付け、エンタープライズ IdP へのサイレントパススルーを有効にできます。ログインを信頼する前に、返されたトークン内の org_id クレームを必ず検証してください。
• フェデレーションログアウト: ログアウト時は Auth0 の /v2/logout に federated: true を付けてリダイレクトし、エンタープライズ IdP のセッションを終了させます。これを行わないと、IdP のセッションは有効なまま残ります。

​

SSO でのログイン

​

ドメインベースのユーザールーティング (Webfinger)

GET https://{your-auth0-domain}/.well-known/webfinger
  ?resource=urn:auth0:discovery:domain:{user-domain}
  &rel=http://openid.net/specs/connect/1.0/issuer

const isAuth0Managed = await isFederatedDomain(AUTH0_DOMAIN, 'acme.com');
if (isAuth0Managed) {
  // B2B Connect - エンタープライズにルーティング
} else {
  // 既存の認証フローにルーティング
}

​

推奨されるルーティング方法

• 接続が1つだけ有効な場合：Auth0 はメールのドメインを使って org レベルの HRD を実行し、ユーザーをエンタープライズ IdP へ直接ルーティングします。追加の設定は不要です。
• 複数の接続が有効な場合：Auth0 は org レベルの HRD に続いて接続レベルの HRD を実行します。この場合、ユーザーに入力を求めずに Auth0 が正しい接続を判別できるよう、テナントで Identifier First を有効にしておく必要があります。

​

セッション管理

​

IPSIE セッション有効期限 (OIDC)

​

DPoP

​

Universal Logout

​

委任管理

• 自社 organization のエンタープライズ IdP 設定の管理
• ドメイン検証の管理
• organization メンバーの招待と管理
• メンバーロールの割り当てと削除
• organization の詳細情報とブランディングの更新

​

トラブルシューティング

​

接続リストが空になっている

​

B2B顧客がセルフサービスチケットを受け取っていない

​

エンタープライズ接続がloginフローに表示されない

1. 対象のOrganizationでエンタープライズ接続が有効になっているか確認します。
2. そのOrganizationにB2B統合アプリケーションへのアクセス権 (アプリケーション単位のアクセス) が付与されているか確認します。
3. ユーザーのemailドメインが、Organizationに関連付けられた検証済みドメインと一致しているか確認します。