Universal Portals用のアプリケーションを構成する

Universal Portals用に通常のWebアプリケーションを構成します。推奨設定、APIアクセス、リフレッシュトークンの設定についても説明します。

各ポータルには、Auth0の通常のWebアプリケーションが1つずつ紐づいています。ポータルサーバーは、このアプリケーションの認証情報を使ってユーザーをサインインさせ、My Account APIとMy Organization APIのアクセストークンを取得します。アプリケーションとポータルは1対1で対応します。

Universal Portalsクイックスタートを使うと、通常のWebアプリケーションが自動で作成・設定されます。既存のアプリケーションをリンクしたい場合、設定をコードとして管理したい場合、または設定内容を確認したい場合は、このページを参照してください。

​

シナリオ別の要件

シナリオ	要件
コンシューマーポータル	My Account APIのスコープによるMy Account APIへのアクセス
ビジネスポータル	My Organization APIのスコープによるMy Organization APIへのアクセス、およびOrganizationコンテキストの設定
ネイティブアプリケーション	アプリケーションがセッション転送トークンを受け付けること。ネイティブアプリケーションを参照してください
ユーザーを更新するForm	Forms vault専用のマシンツーマシンアプリケーション。ユーザーを更新するFormを参照してください

ポータルが呼び出す各リソースサーバー (My Account APIとMy Organization API) には、次の2つが必要です。

• クライアントへの認可：アプリケーションがスコープをリクエストできるようにします。
• リフレッシュトークンポリシー：ポータルサーバーがリフレッシュトークンを、そのリソースサーバー用のアクセストークンと交換できるようにします。

いずれかが欠けていると、コンポーネントがAPIエラーで失敗します。詳細については、「Multi-Resource Refresh Token」をお読みください。

付与すべきスコープは、ポータルで使用するコンポーネントによって異なります。以下のリストには、サポート対象のコンポーネントに必要なスコープがすべて記載されています。使用しないコンポーネントのスコープは削除してください。各コンポーネントのスコープについては、「Portal Components Library Reference」をお読みください。

My Account APIのスコープ

オーディエンス：https://YOUR_DOMAIN/me/

• read:me:factors
• read:me:authentication_methods
• create:me:authentication_methods
• delete:me:authentication_methods

My Organization APIのスコープ

オーディエンス：https://YOUR_DOMAIN/my-org/

• read:my_org:details
• update:my_org:details
• read:my_org:configuration
• read:my_org:domains
• create:my_org:domains
• update:my_org:domains
• delete:my_org:domains
• read:my_org:identity_providers
• create:my_org:identity_providers_domains
• delete:my_org:identity_providers_domains

​

推奨設定

ポータルアプリケーションには、以下の設定を使用してください。リフレッシュトークンの有効期間はポータルのセッションに合わせて、無操作時は1時間、合計で1日としています。スコープは Portal で使用するコンポーネントに必要なものだけを付与し、Portal が呼び出さないリソースサーバーについては、そのポリシーとグラントを削除してください。

Auth0 Dashboard

1. アプリケーションを作成する

   Auth0 Dashboard > Integration > Applicationsに移動してCreate Applicationを選択し、Regular Web Applicationsを選んで名前を入力します。

2. URLを設定する

   Settingsタブで、Allowed Callback URLsにhttps://YOUR_DOMAIN/portals/auth/callbackを設定します。Allowed Logout URLsには、アプリケーションのURLを設定します。これは、ユーザーがPortalからログアウトした後に移動する先です。

3. トークンエンドポイントのIPヘッダーを信頼する

   CredentialsタブのAdvancedで、Trust token endpoint IP headerを有効にします。

4. グラントタイプを設定する

   Advanced Settings > Grant Typesで、Authorization Code、Refresh Token、MFAを有効にします。その他のグラントタイプはすべて無効のままにしておきます。

5. リフレッシュトークンの有効期間を設定する

   Refresh Token ExpirationでSet Idle Refresh Token Lifetimeを有効にし、3600秒と入力します。続いてSet Maximum Refresh Token Lifetimeを有効にし、86400秒と入力します。リフレッシュトークンのローテーションは、デフォルトのまま無効にしておきます。

6. Organizationsを許可する

   Organizationsタブで、Type of UsersをBothに、Login FlowをNo Promptに設定します。

7. APIアクセスを付与する

   API Accessタブで、My Account APIとMy Organization APIへのユーザーアクセスを認可します。その際、シナリオ別の要件に記載されたスコープを指定してください。

8. Multi-Resource Refresh Tokenを有効にする

   Multi-Resource Refresh Tokenで、同じAPIとスコープを有効にします。最後にSave Changesを選択します。

Management API

アプリケーションを作成します。ペイロードでは、新しい通常のWebアプリケーションのデフォルトとは異なる値と、両方のリソースサーバーのリフレッシュトークンポリシーを設定します。APIでは、refresh_tokenを送信する際には必ずrotation_typeも指定する必要があります。

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/clients" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "name": "{portalName} (Universal Portals)",
    "app_type": "regular_web",
    "oidc_conformant": true,
    "callbacks": ["https://YOUR_DOMAIN/portals/auth/callback"],
    "allowed_logout_urls": ["{yourApplicationUrl}"],
    "grant_types": [
      "authorization_code",
      "refresh_token",
      "http://auth0.com/oauth/grant-type/mfa-oob",
      "http://auth0.com/oauth/grant-type/mfa-otp",
      "http://auth0.com/oauth/grant-type/mfa-recovery-code"
    ],
    "token_endpoint_auth_method": "client_secret_post",
    "is_token_endpoint_ip_header_trusted": true,
    "organization_usage": "allow",
    "refresh_token": {
      "rotation_type": "non-rotating",
      "expiration_type": "expiring",
      "token_lifetime": 86400,
      "idle_token_lifetime": 3600,
      "policies": [
        {
          "audience": "https://YOUR_DOMAIN/me/",
          "scope": [
            "read:me:factors",
            "read:me:authentication_methods",
            "create:me:authentication_methods",
            "delete:me:authentication_methods"
          ]
        },
        {
          "audience": "https://YOUR_DOMAIN/my-org/",
          "scope": [
            "read:my_org:details",
            "update:my_org:details",
            "read:my_org:configuration",
            "read:my_org:domains",
            "create:my_org:domains",
            "update:my_org:domains",
            "delete:my_org:domains",
            "read:my_org:identity_providers",
            "create:my_org:identity_providers_domains",
            "delete:my_org:identity_providers_domains"
          ]
        }
      ]
    }
  }'

次に、リソースサーバーごとにクライアントへの認可を作成します。以下の例では、My Account APIへのアクセスを許可しています。オーディエンスをhttps://YOUR_DOMAIN/my-org/に、スコープをMy Organization APIのものに置き換えて、同じ手順を繰り返してください。

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/client-grants" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "client_id": "{portalClientId}",
    "audience": "https://YOUR_DOMAIN/me/",
    "subject_type": "user",
    "scope": [
      "read:me:factors",
      "read:me:authentication_methods",
      "create:me:authentication_methods",
      "delete:me:authentication_methods"
    ]
  }'

​

変更してはいけない設定

これらの設定はPortalの動作に関わるため、変更しないでください。

その他のアプリケーション設定もPortalの動作に影響する場合があります。変更を加える際は、必ず先に開発用テナントでテストしてください。

• DPoPを有効にしないでください。 Portalサーバーは機密クライアントであり、sender-constrainedトークンを使用しません。
• リフレッシュトークンのローテーションを有効にしないでください。 Portalはこの機能に対応していません。
• 複数のPortalで1つのアプリケーションを共有しないでください。 Portalごとに専用のアプリケーションが必要です。
• リフレッシュトークンの無操作有効期間を1時間未満に設定しないでください。 Portalのセッションは、無操作状態が1時間続くと終了します。リフレッシュトークンの有効期間がこれより短いと、Portalがユーザーに再サインインを求める前にAPI呼び出しが失敗してしまいます。
• Portalで使用しないグラントタイプやスコープを追加しないでください。 たとえば、client_credentialsグラントは有効にしないでください。
• PortalアプリケーションにManagement APIグラントを追加しないでください。 ユーザーを更新するFormには、別途マシンツーマシンアプリケーションを使用してください。

​

シナリオ別の設定

ユースケースによっては、ポータルアプリケーションに追加の設定が必要です。このセクションのシナリオを確認し、ユーザーがポータルにアクセスする方法に応じた設定を適用してください。

​

ネイティブアプリケーション

ネイティブアプリケーションからポータルを開くには、URLで渡されるセッション転送トークンをポータルアプリケーションが受け入れられるようにする必要があります。ポータルアプリケーションに以下を追加してください。

{
  "session_transfer": {
    "allowed_authentication_methods": ["query"],
    "enforce_device_binding": "ip"
  }
}

セッション転送トークンを作成するように、ネイティブアプリケーションを構成します。詳しくは、ネイティブからWebへのSSOを構成・実装するを参照してください。その後、ポータルにアクセスするの手順に従ってください。

​

Organization コンテキスト

organization パラメーターを指定してポータルを開くには、ポータルアプリケーションで Organizations を許可しておく必要があります：

{
  "organization_usage": "allow"
}

推奨設定にはこの値がすでに含まれており、ログインフローはデフォルトで no_prompt になっています。この設定では、ビジネス向けの Portal を開く際に必ず organization を送信してください。詳しくは、組織の動作を定義するおよびPortal にアクセスするをご覧ください。

​

ユーザーを更新するForm

フローでユーザーを更新するFormは、Forms vault接続を介してManagement APIを呼び出します。この接続には専用のマシンツーマシンアプリケーションを作成し、update:usersやupdate:users_app_metadataなど、フローに必要なスコープだけを付与してください。詳しくは、Auth0 Vault接続を参照してください。

​

アプリケーションをPortalにリンクする

Auth0 Dashboard

1. Auth0 Dashboard > Portalsに移動してCreate Portalを選択するか、既存のPortalを開きます。
2. NameとSlugを入力し、アプリケーションを選択します。スラッグはポータルURLの一部として使用されます。
3. Createを選択します。

Management API

curl --request POST \
  --url "https://YOUR_DOMAIN/api/v2/portals" \
  --header "authorization: Bearer {managementApiToken}" \
  --header "content-type: application/json" \
  --data '{
    "name": "{portalName}",
    "slug": "{slug}",
    "client": {
      "token_endpoint_auth_method": "client_secret_post",
      "client_id": "{portalClientId}",
      "client_secret": "{portalClientSecret}"
    }
  }'

client_secretは書き込み専用で、Auth0から返されることはありません。ポータルAPIでサポートされているのはclient_secret_postのみです。slugが重複している場合は409 Conflictが返されます。

​

有効な接続を確認する

ユーザーは、ポータルアプリケーションで有効になっている任意の接続を使ってPortalにサインインできます。Portalを共有する前に、ユーザーが必要とする接続が少なくとも1つ有効になっていることを確認してください。

1. Auth0 Dashboard > アプリケーションに移動し、ポータルアプリケーションを選択します。
2. ［接続］タブを選択します。
3. ユーザーが必要とする接続をオンにします。有効な接続が1つもない場合、ユーザーはPortalにサインインできません。

詳細については、「アプリケーション接続を更新する」をお読みください。

［Enable Application Connections］テナント設定がオンの場合、クイックスタートで作成される接続を含め、テナントに現在あるすべての接続がポータルアプリケーションに割り当てられます。詳細については、「テナント設定」をお読みください。

​

設定を確認する

https://YOUR_DOMAIN/portals/{slug} を開き、テストユーザーでサインインします。次に、Universal Component を含むページを開きます。コンポーネントにエラーが表示される場合は、Universal Portals のトラブルシューティングを参照してください。

​

次のステップ

Universal Portalsのトラブルシューティング

APIエラー、サインインの問題、Organizationに関する問題を解決します。

Portalsへのアクセス

アプリケーションからPortalへユーザーを誘導します。