Online Refresh Tokens の設定と使用

ORT を設定する

Online Refresh Tokens (ORTs) は、Auth0 Dashboard または Management API を使用して、API (Resource Server) レベルで有効化する必要があります。

Auth0 Dashboard で設定する

Auth0 Dashboard > アプリケーション > API に移動します。
設定する API を選択します。
設定タブで、オンラインアクセスを許可 トグルを有効にします。
保存を選択します。

セッションのアイドルタイムアウトと絶対有効期間の値を確認して設定するには、テナントのセッション有効期限の設定を確認してください。詳細については、セッションの有効期間を設定するをご覧ください。

Management API を使用した設定

ORTs を有効にするには、リソースサーバーを更新するendpointに対して PATCH 呼び出しを行います。

Auth0 CLI
cURL

Auth0 CLI を使用する場合は、このコマンドを実行する前に、まだ済んでいなければCLI セッションをセットアップして認証してください。

auth0 api patch "resource-servers/<YOUR_RESOURCE_SERVER_ID>" \
  --data '{"allow_online_access": true}'

curl --request PATCH \
  --url 'https://<YOUR_DOMAIN>/api/v2/resource-servers/<YOUR_RESOURCE_SERVER_ID>' \
  --header 'authorization: Bearer <YOUR_MANAGEMENT_API_TOKEN>' \
  --header 'content-type: application/json' \
  --data '{"allow_online_access": true}'

設定を確認するには、リソースサーバーに対して GET 呼び出しを行います。

Auth0 CLI
cURL

auth0 api get "resource-servers/<YOUR_RESOURCE_SERVER_ID>"

curl --request GET \
  --url 'https://<YOUR_DOMAIN>/api/v2/resource-servers/<YOUR_RESOURCE_SERVER_ID>' \
  --header 'authorization: Bearer <YOUR_MANAGEMENT_API_TOKEN>'

レスポンスには、allow_online_access プロパティが含まれます。

{
  "id": "resource-server-id",
  "name": "My API",
  "identifier": "https://my-api.example.com",
  "allow_online_access": true,
  ...
}

ORT を取得する

ORT を取得するには、認可コードフローまたは PKCE を使用した Authorization Code フローで送信する認可リクエストに online_access スコープを含めます。

https://<YOUR_DOMAIN>/authorize \
    audience=<YOUR_API_AUDIENCE> \
    scope=openid profile online_access \
    response_type=code \
    client_id=<YOUR_CLIENT_ID> \
    redirect_uri=<https://YOUR_APP/callback> \
    state=<OPAQUE_VALUE>

ユーザーの認証後、認可コードをトークンに交換します：

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'code=<YOUR_AUTHORIZATION_CODE>' \
  --data 'redirect_uri=<https://YOUR_APP/callback>' \
  --data 'code_verifier=<YOUR_CODE_VERIFIER>'

トークン応答には ORT が含まれます。

{
  "access_token": "eyJ...",
  "id_token": "eyJ...",
  "refresh_token": "ORT...",
  "token_type": "Bearer",
  "expires_in": 86400
}

ORT には、リフレッシュトークンと区別するために ORT という接頭辞が付いています。ただし、トークンは中身を意識しない不透明なものとして扱い、その内部構造に依存しないでください。

ORT を使用する

現在のアクセストークンの有効期限が切れた場合、またはまもなく切れる場合は、ORT を新しいアクセストークンに交換します：

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=refresh_token \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'refresh_token=<YOUR_ONLINE_REFRESH_TOKEN>'

レスポンスには、新しいアクセストークンが含まれます。リクエストに openid スコープが含まれている場合、レスポンスには新しい ID トークンが含まれます。

{
  "access_token": "eyJ...",
  "id_token": "eyJ...",
  "token_type": "Bearer",
  "expires_in": 86400
}

Auth0 は新しい refresh_token を発行せず、ORT はローテーションされないため、その後のやり取りでも同じ ORT を使い続けます。

セッション延長の動作

トークン交換が成功するたびに、次のようになります。

セッションのアイドルタイムアウトがリセットされます: アイドルタイムアウトは最大時間まで戻ります。
絶対有効期間は延長されません: セッションの絶対的な有効期限は変わりません。
SSO は維持されます: セッションが有効な限り、他のアプリケーションも SSO を通じてトークンを取得できます。

ORTを失効させる

ORTを失効させると、token だけでなく Auth0 のセッション全体が終了します。これにより、そのセッションに紐付いたすべてのORTが無効になり、ユーザーのSSOも終了します。

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/revoke' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'token=<YOUR_ONLINE_REFRESH_TOKEN>'

ActionsでORTsを使用する

ORTsは、Auth0のActionsおよびpost-loginトリガーで使用できます。 Actionsを使用すると、次のことが可能です。

event.refresh_tokenオブジェクトを使用して、トークンがORTかどうかを判断する。
event.sessionオブジェクトを使用してセッション固有のデータにアクセスし、現在のセッションの状態に基づいて判断する

exports.onExecutePostLogin = async (event, api) => {
  // トークンがオンラインリフレッシュトークンかどうかを確認する
  
  if (event.refresh_token?.access == 'online') {
    // トークンはORTです。event.session および api.session を参照できます
    console.log('Exchanging Online Refresh Token bound to Session ID: ', event.session?.id);
    // セッションのメタデータを取得してトークンに追加する
    // セッションのメタデータが事前に保存済みであることを前提とする
    const importantInformation = event.session?.metadata?.importantInformation;
    api.accessToken.setCustomClaim('info', importantInformation);
    api.idToken.setCustomClaim('info', importantInformation);
  }
};

ORT で api.refreshToken.revoke() メソッドを使用すると、Auth0 はトークンだけでなくユーザーセッション全体を無効化します。

Protect Your Application

Call APIs On User's Behalf

Protect Your Tenant

Compliance

Online Refresh Tokens の設定と使用

ORT を設定する

Auth0 Dashboard で設定する

Management API を使用した設定

ORT を取得する

ORT を使用する

セッション延長の動作

ORTを失効させる

ActionsでORTsを使用する

さらに詳しく

​ORT を設定する

​Auth0 Dashboard で設定する

​Management API を使用した設定

​ORT を取得する

​ORT を使用する

​セッション延長の動作

​ORTを失効させる

​ActionsでORTsを使用する

​さらに詳しく

ORT を設定する

Auth0 Dashboard で設定する

Management API を使用した設定

ORT を取得する

ORT を使用する

セッション延長の動作

ORTを失効させる

ActionsでORTsを使用する

さらに詳しく