Skip to main content

​
前提条件

​
手順

アプリケーションを OIDC に接続するには、次の手順を実行します。
  1. OpenID Connect IDプロバイダーでアプリを設定する
  2. Auth0 でエンタープライズ接続を作成する
  3. Auth0 アプリケーションでエンタープライズ接続を有効にする
  4. 接続をテストする

​
OpenID Connect IDプロバイダーでアプリを設定する

ユーザーが OIDC IDプロバイダーを使ってログインできるようにするには、その IdP にアプリケーションを登録する必要があります。この手順は OIDC IDプロバイダーによって異なるため、作業を完了するには利用している IdP のドキュメントに従ってください。 通常は、どこかの時点で次のコールバック URL を入力する必要があります。https://{YOUR_AUTH0_DOMAIN}/login/callback

リダイレクト用の Auth0 ドメイン名を確認する

上記に Auth0 ドメイン名が表示されておらず、カスタムドメイン機能を使用していない場合、ドメイン名はテナント名、リージョンのサブドメイン、auth0.com をドット (.) でつないだものになります。たとえば、テナント名が exampleco-enterprises で、テナントが US リージョンにある場合、Auth0 ドメイン名は exampleco-enterprises.us.auth0.com になり、Redirect URI は https://exampleco-enterprises.us.auth0.com/login/callback になります。ただし、テナントが US リージョンにあり、2020 年 6 月より前に作成されている場合、Auth0 ドメイン名は exampleco-enterprises.auth0.com になり、Redirect URI は https://exampleco-enterprises.auth0.com/login/callback になります。カスタムドメインを使用している場合、Redirect URI は https://<YOUR CUSTOM DOMAIN>/login/callback になります。
このプロセスの中で、OIDC IDプロバイダーは登録された API に一意の識別子を発行します。通常、これは または Application ID と呼ばれます。後で必要になるので、この値は控えておいてください。

​
Auth0 でエンタープライズ接続を作成する

Auth0 で OIDC エンタープライズ接続を設定する前に、OIDC プロバイダーでアプリを設定した際に生成された Application (Client) ID と を用意しておいてください。

​
Auth0 Dashboard を使用してエンタープライズ接続を作成する

Auth0 Dashboard で設定できるようにするには、OpenID Connect (OIDC) IDプロバイダー (IdP) が OIDC ディスカバリー をサポートしている必要があります。サポートしていない場合は、Management API を使用して接続を設定できます。
  1. Auth0 Dashboard > Authentication > Enterprise に移動し、Open ID Connect を見つけて Create を選択します。
    Dashboard - Connections - Enterprise
  2. 接続の詳細を入力し、Create: を選択します。
OIDC 接続の詳細を入力
  1. 設定 ビューで、必要に応じて追加の設定調整を行います。

  1. Provisioning ビューで、Auth0 でユーザープロファイルを作成および更新する方法を設定します。
  1. Login Experience ビューで、この接続を使用したユーザーのログイン方法を設定します。
オプション項目は Universal Login でのみ使用できます。クラシックログインを使用している場合、Add ボタン、Button display name、Button logo URL は表示されません。
  1. 変更を保存 を選択します。

​
Management API を使用してエンタープライズ接続を作成する

以下の例では、Auth0 の を使用して接続を作成するさまざまな方法を紹介します。メタデータ URI を指定する方法と、OIDC URL を明示的に設定する方法があります。 OIDC 接続では、Auth0 はメタデータディスカバリードキュメントに 128 KB のサイズ制限を適用し、この制限を超えると Discovery document exceeds the maximum allowed size of 128 KB エラーが発生します。 詳しくは、IDプロバイダー を参照してください。

​
ディスカバリーエンドポイントでフロントチャネルを使用する

Auth0 CLI を使用している場合は、このコマンドを実行する前にCLI セッションを設定して認証してください。

​
ディスカバリーエンドポイントでバックチャネルを利用する

​
発行者設定を指定してバックチャネルを使用する

​
発行者設定を指定してフロントチャネル方式を使用する

​
PKCE とクレームマッピングを設定する

このエンタープライズ接続では、Proof Key for Code Exchange (PKCE) に加え、属性とトークンのマッピングもサポートできます。詳しくは、OIDC 接続向けの PKCE とクレームマッピングを設定するを参照してください。

​
Auth0アプリケーションのエンタープライズ接続を有効にする

新しいエンタープライズ接続を使用するには、まず Auth0アプリケーションでこの接続を有効にする必要があります。

​
接続をテストする

これで、接続をテストする準備が整いました。

​
発行者メタデータを手動で設定する

Issuer URL エンドポイントの 発行者の詳細を表示 をクリックすると、データを確認し、必要に応じて調整できます。

​
Auth0 とフェデレーションを行う

Connect エンタープライズ接続は、別の Auth0 テナントにフェデレーションする場合に便利です。発行者 フィールドに Auth0 テナントの URL (例: https://<tenant>.us.auth0.com) を入力し、Client ID フィールドに、フェデレーション先のテナント内にある任意のアプリケーションの Client ID を入力します。
新しいテナントの URL には us が含まれます。リージョン付きドメインが追加される前に作成されたテナントも、引き続き利用できます。たとえば、https://{YOUR ACCOUNT}.auth0.com です。

​
グローバルトークン失効を設定する

この接続タイプはグローバルトークン失効エンドポイントをサポートしており、これにより、準拠したアイデンティティプロバイダーは Auth0 のユーザーセッションを失効させ、を取り消し、安全なバックチャネルを使用するアプリケーションに対してバックチャネルログアウトを開始できます。 この機能は、Okta Workforce Identity の Universal Logout と組み合わせて使用できます。 詳細と設定手順については、Universal Logout を参照してください。