Microsoft Azure AD
最初の接続タイプは、Auth0 Dashboard > Authentication > Enterprise にある Microsoft Azure AD 接続です。 この接続タイプでは、OAuth 認可コードフローを使用します。Microsoft Azure AD 接続はid_token からクレームを受け取り、Microsoft Graph API を直接クエリします。設定されている場合、このクエリではグループと追加のプロファイル情報を検索します。Microsoft Azure AD は、id_token に含まれるカスタムクレームをすべて無視します。
接続の機能と考慮事項
この接続タイプは標準のワークフローであるため、拡張 AD 機能との互換性が明示されています。Azure AD 接続では、Microsoft Graph API のプロファイル属性が Auth0 のユーザープロファイルに直接マッピングされます。 以下の表は、接続タイプごとの Azure AD Graph 属性を比較したものです。
次の拡張プロファイル属性を受け取るには、Microsoft Graph API にクエリする権限を有効にする必要があります。
businessPhonesjobTitlemobilePhone
グループ設定
Microsoft Graph API をクエリする権限を有効にすると、Auth0 はユーザーのグループを自動的に取得し、それらを Auth0 のgroups 属性にマッピングします。Auth0 はこれらのグループの「表示名」をマッピングするため、Microsoft Graph API から直接マッピングされるこれらのグループについては、カスタム claim を設定する必要はありません。
SAML
SAML 接続タイプでは SAML プロトコルを使用し、属性マッピングと標準的な SAML 機能をすべてサポートしています。接続の機能と考慮事項
SAML 接続タイプは、オプションのクレームとフェデレーテッドログアウトをサポートしているため、利用可能な接続タイプの中で最も柔軟です。これら両方の機能が必要な場合、SAML はその両方を同時にサポートできる唯一の接続タイプです。グループ設定
Auth0 が SAML 接続タイプでグループ情報を受け取れるようにするには、SAML レスポンスにオプション属性が含まれるよう Azure AD を構成する必要があります。すると、Auth0 はそのグループをユーザーの Auth0 プロファイル内のgroup_ids 属性にマッピングします。
SAML 接続タイプと OIDC 接続タイプでは、グループ名には表示名ではなく、オブジェクト識別子が使用されます。オンプレミスの AD からグループをインポートしている場合は、表示名を SAML レスポンスに含められることがあります。グループ クレームの詳細については、Microsoft のドキュメントを参照してください。
Enterprise OIDC
Enterprise Open ID Connect タイプでは、OAuth Implicit または認可コードワークフローを使用できます。この接続では、id_token 内のカスタムクレームが Auth0 のユーザープロファイルにマッピングされます。認証フローの詳細については、認証と認可のフローに関するドキュメントを参照してください。
接続の機能と考慮事項
規制やプライバシーに関する取り決めにより、ログインフローでを提供できない場合は、OIDC 接続が提供する Implicit Flow が適した方法となることがあります。カスタムクレームが必要でも、追加の SAML 機能を設定したくない場合は、OIDC 接続によって複雑さを軽減できます。グループ設定
Auth0 が OIDC 接続タイプでグループ情報を受け取れるようにするには、リクエストのid_token に groups を追加するオプションのクレームを Azure AD で設定する必要があります。Auth0 はその後、これらのグループをユーザーの Auth0 プロファイル内の group_ids 属性にマッピングします。
SAML と OIDC の接続タイプでは、グループの表示名ではなくオブジェクト識別子が使用されます。オンプレミスの AD からグループをインポートしている場合は、SAML レスポンスに表示名を含められることがあります。グループ クレームの詳細については、Microsoft のドキュメントを参照してください。