{yourDomain}で作成された既存のセッションが無効になるため、ユーザーに再ログインが求められます。
前提条件
機能
| 機能 | 参照するセクション |
|---|---|
| カスタマイズされたログインページを使用した | ユニバーサルログイン |
| アプリケーションに組み込まれたLock | 組み込まれたLock |
| Auth0 SPA SDK、Auth0.js、その他のAuth0 SDK | Auth0 SPA SDK、Auth0.js、その他のSDK |
| Auth0メールのカスタムドメイン | メールにカスタムドメインを使用する |
| ソーシャルIDプロバイダー | ソーシャルIDプロバイダーを構成する |
| カスタムドメインを使用したGoogle Workspace接続 | Google Workspace接続を構成する |
| APIにアクセストークンを発行、またはアプリケーションからAuth0 APIにアクセス | API |
| IDプロバイダー | SAML IDプロバイダーを構成する |
| SAMLアプリケーション | SAMLアプリケーションを構成する |
| Webサービスフェデレーション(WS-Fed)アプリケーション | WS-Fedアプリケーションを構成する |
| Microsoft Entra ID接続 | Microsoft Entra ID接続を構成する |
| ADFS接続 | ADFS接続を構成する |
| Kerberosサポートを使用したAD/LAP接続 | AD/LAP接続を構成する |
ユニバーサルログイン
configurationBaseUrlとoverridesのオプションを以下のスクリプト例のように設定しなければなりません。
overridesオプションを設定する必要があります。
/usernamepassword/loginに必要)と発行者(id_tokenの検証に必要)を取得します。ただし、プライベートクラウドでプロキシを使用しているか、テナントや発行者と異なる名前を持つカスタムドメインを使用している場合には、__tenantや__token_issuerを使って一意の値を渡すことができます。
埋め込まれたLock
configurationBaseUrlを適切なCDNのURLに設定する必要があります。
CDNのURLは地域によって異なります。https://cdn.[us|eu|au|jp].auth0.com(アメリカにはus、ヨーロッパにはeu、オーストラリアにはau、日本にはjp)を使用します。
CDNのURLは地域によって異なります。2020年6月11日より前に作成されたテナントは、地域が米国なら
https://cdn.auth0.com、オーストラリア、カナダ、日本、イギリスなら末尾に au、ca、eu、jp、ukを追加して使用します。2020年6月11日以降に作成されたテナントは、地域が米国ならhttps://cdn.us.auth0.comを使用します。Auth0 SPA SDK、Auth0.js、その他のSDK
メールにカスタムドメインを使用する
- [Auth0 Dashboard]>[Branding(ブランディング)]>[Custom Domains(カスタムドメイン)]に移動します。
- [Use Custom Domain in Emails(メールにカスタムドメインを使用する)] トグルを有効にします。
https://login.northwind.com/login/callbackなど)を含めて更新する必要があります。
カスタムドメインにはAuth0の開発者キーは使用できません。
Google Workspace接続を構成する
https://<YOUR-CUSTOM-DOMAIN>/login/callbackの形式でカスタムドメイン(https://login.northwind.com/login/callbackなど)を含めます。
API
audience)は変更されません。これはそれぞれのAPIに一定の値で、URIが標準的に使用されているにもかかわらず、トークンの取得に使用されるドメインとは完全に無関係です。
Auth0はトークンを発行するのに、トークンの取得に使用したドメインのissクレームを使用します。
Auth0 API
audienceを指定する際には、カスタムドメインではなく、使用しているデフォルトのテナントドメイン名(https://{yourDomain}/userinfo、https://{yourDomain}/api/v2/など)を使用します。ここが、デフォルトのテナントドメインを使用する唯一の場所です。
すべての要求(トークン取得や実際のAPI呼び出し)には同じドメインを使用する必要があります。カスタムドメインを通して取得したトークンは、その同じカスタムドメインでAuth0 APIに使用されなければなりません。
また、カスタムドメインを用いた認証フローを使って、へのアクセスにアクセストークンを要求する場合には、そのカスタムドメインでManagement APIを呼び出す必要があります。
カスタムAPI
SAML IDプロバイダーを構成する
- サービスプロバイダーのメタデータをAuth0から
https://<YOUR-CUSTOM-DOMAIN>/samlp/metadata?connection=<YOUR-CONNECTION-NAME>を使って取得します。これには、更新済みのACS URLが含まれています。そして、IdPの設定でこの値を手動で更新します。IdPに対するこの変更は、アプリケーションでカスタムドメインの使用を始めるのと同時に行わなければなりません。構成するべきIdPが複数ある場合には、これが問題となる可能性があります。 - IdPに対応があれば、この要件を満たすのに、署名付きの要求を使用することができます。
- 署名証明書を
https://<TENANT>.auth0.com/pemからダウンロードします。同じ証明書がhttps://<YOUR-CUSTOM-DOMAIN>.com/pemからも返されることに注意してください。 - 証明書をIdPにアップロードして提供します。これで、Auth0がIdPに送信する
AuthnRequestメッセージの署名を、IdPが検証できるようになります。 - IdPが証明書をインポートして、必要であれば、署名の検証を有効化します(実際の手順はIdPによって異なります)。
- Dashboardの [Sign Request(要求を署名する)] トグルをオンにします。これは [Connections(接続)]>[Enterprise(エンタープライズ)]>[SAML]>[CONNECTION(接続)] にあります。これで、Auth0がIdPに送信する
AuthnRequestのSAMLメッセージが署名されるようになります。
SAMLアプリケーションを構成する
https://<YOUR-CUSTOM-DOMAIN>/samlp/metadata/<YOUR-CLIENT-ID>から取得することができます。Auth0から返されるアサーションの発行者エンティティIDが、カスタムドメインを使用すると変わることに注意してください(例:urn:northwind.auth0.comはカスタムドメインを使用するとurn:login.northwind.comになります)。
IdP起点の認証フローがある場合には、その実行に使用されるURLをカスタムドメインで更新する必要があります。必ず、https://<TENANT>.auth0.com/samlp/<YOUR-CLIENT-ID>ではなく、https://<YOUR-CUSTOM-DOMAIN>/samlp/<YOUR-CLIENT-ID>を使用します。
WS-Fedアプリケーションを構成する
https://<YOUR-CUSTOM-DOMAIN>/wsfed/FederationMetadata/2007-06/FederationMetadata.xmlから取得することができます。
Azure AD接続を構成する
https://<YOUR-CUSTOM-DOMAIN>/login/callbackの形式でカスタムドメイン(https://login.northwind.com/login/callbackなど)を含めます。
ADFS接続を構成する
https://<YOUR-CUSTOM-DOMAIN>/login/callbackの形式でカスタムドメイン(https://login.northwind.com/login/callbackなど)を含めます。
AD/LDAP接続を構成する
config.jsonファイルを編集し、カスタムドメインを使用するように、PROVISIONING_TICKET値をhttps://<YOUR-CUSTOM-DOMAIN>/p/ad/jUG0dN0R形式の値に変更します。
この変更を保存したら、AD/LDAPコネクターサービスを再起動して、変更内容を適用する必要があります。