Configurer l’authentification Private Key JWT

Private Key JWT est offert aux clients du plan Enterprise. Pour passer à un forfait supérieur, consultez Auth0 pricing.

L’authentification Private Key prend en charge l’authentification du client selon OIDC Connect Core Client Authentication 1.0, à l’aide d’assertions JWT signées avec des paires de clés asymétriques. Vous pouvez créer une nouvelle application pour utiliser private_key_jwt ou permettre à des applications existantes d’utiliser des paires de clés asymétriques pour l’authentification.

Prérequis

Avant de configurer une application qui s’authentifie au moyen de Private Key JWT, vous devez générer une paire de clés RSA.

Configurer Private Key JWT

Auth0 Dashboard
Management API

Vous pouvez utiliser l’Auth0 Dashboard pour créer une nouvelle application et configurer les identifiants, ou mettre à jour une application existante.Nous vous recommandons de stocker de façon sécuritaire le paramètre client_secret actuel avant de définir la méthode d’authentification de votre application sur Private Key JWT. Le paramètre client_secret sera masqué une fois la configuration de Private Key JWT terminée.

Configurer une nouvelle application pour `private_key_jwt`

Accédez à Auth0 Dashboard > Applications > Application.
Sélectionnez Create Application.
Choisissez votre type d’application.
Dans les paramètres de l’application, sélectionnez l’onglet Credentials.
Sous Authentication Methods, sélectionnez Private Key JWT.
Configurez les détails de l’identifiant :
1. Saisissez un nom pour l’identifiant.
2. Téléversez votre certificat au format PEM ou X.509.
3. Sélectionnez l’algorithme utilisé pour signer les assertions.
4. Facultatif : activez une date d’expiration personnalisée. Sélectionnez Set an explicit expiry date for this Credential et définissez une date ultérieure.
  Vous pourriez recevoir une erreur de certificat invalide si vous soumettez une clé mal formée. Pour éviter tout problème, il est préférable de téléverser directement le fichier créé par openssl.
Sélectionnez Add Credential.

Configurer une application existante

Accédez à Auth0 Dashboard > Applications.
Sélectionnez l’application que vous souhaitez mettre à jour.
Sélectionnez l’onglet Credentials.
Choisissez Private Key JWT.
Configurez les détails de l’identifiant :
1. Saisissez un nom pour l’identifiant.
2. Téléversez votre certificat au format PEM ou X.509.
3. Sélectionnez l’algorithme utilisé pour signer les assertions.
4. Facultatif : activez une date d’expiration personnalisée. Sélectionnez Set an explicit expiry date for this Credential et définissez une date ultérieure.
Sélectionnez Add Credential.

Configurer une application pour utiliser l’authentification Client Secret

Accédez à Auth0 Dashboard > Applications > Applications et sélectionnez l’application que vous souhaitez mettre à jour.
Sélectionnez l’onglet Credentials.
Choisissez Client Secret (Post) ou Client Secret (Basic).
Sélectionnez Save.

Mettre à jour l’expiration d’un identifiant

Vous pouvez mettre à jour la date d’expiration d’un identifiant existant dans l’Auth0 Dashboard.

Accédez à Auth0 Dashboard > Applications > Applications et sélectionnez l’application que vous souhaitez mettre à jour.
Sélectionnez l’onglet Credentials.
Choisissez l’identifiant que vous souhaitez mettre à jour et sélectionnez Edit Credential.
Sélectionnez Set an explicit expiry date for this Credential et définissez une date ultérieure.
Sélectionnez Update Credential.

Configurer une nouvelle application pour « private_key_jwt »

Vous pouvez créer une nouvelle application avec private_key_jwt comme méthode d’authentification en utilisant la Management API. Effectuez un appel POST vers l’endpoint Create a Client avec la charge utile suivante :

Auth0 CLI
cURL

Vous utilisez l’Auth0 CLI ? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api post "clients" \
  --data '{
   "name": "{clientName}",
   "app_type": "non_interactive",
   "client_authentication_methods": {
     "private_key_jwt": {
       "credentials": [
         {
            "name": "{credentialName}",
            "credential_type": "public_key",
            "pem": "{credentialPublicKey}",
            "alg": "{algorithm}",
            "expires_at": "{expiresAt}"
         }
       ]
     },
     "jwt_configuration": {
       "alg": "RS256"
     }
   }
  }'

curl --location --request POST 'https://{domain}/api/v2/clients' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
 "name": "{clientName}",
 "app_type": "non_interactive",
 "client_authentication_methods": {
   "private_key_jwt": {
     "credentials": [
       { 
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialPublicKey}",
          "alg": "{algorithm}",
          "expires_at": "{expiresAt}"
       }
     ]
   },
   "jwt_configuration": {
     "alg": "RS256"
   }
 }
}'

Paramètre	Description
`algorithme`	Algorithme utilisé pour signer les assertions. Les valeurs prises en charge sont RS256, RS384 et PS256. S’il n’est pas indiqué, l’algorithme par défaut est RS256.
`clientName`	Nom de votre nouveau client.
`credentialName`	Nom de la clé publique.
`expires_at`	Facultatif. Date d’expiration du justificatif au format ISO 8601. Par exemple, `2020-08-20T19:10:06.299Z`. Une fois cette date passée, le justificatif n’est plus valide.
`managementApiAccessToken`	Jeton d’accès pour la Management API ayant la portée `create:credentials`.
`pem`	Clé publique ou certificat x.509, encodé au format PEM.
`parse_expiry_from_cert`	Facultatif. Booléen indiquant si Auth0 doit analyser la date d’expiration lorsqu’un certificat est fourni. Si aucun certificat n’est fourni, Auth0 renverra une erreur. `parse_expiry_from_cert` et `expires_at` s’excluent également mutuellement. Dans ce cas, Auth0 renverra une erreur.

La clé publique PEM doit être échappée en JSON avant d’être transmise à Auth0. Dans notre exemple, voici le contenu à transmettre :

La réponse contient la propriété client_id qui associera votre application au serveur de ressources. Elle contient également un kid généré pour le justificatif que vous avez créé, qui sera utilisé plus tard pour générer le client_assertion.

Auth0 suit la norme JSON Web Key Thumbprint pour générer le kid de vos informations d’authentification.Le kid correspond à un condensé SHA256 de la représentation JWK de votre clé publique, encodé en base64URL.

Configurer une application existante

Vous pouvez également configurer une application existante pour utiliser l’authentification Private Key JWT avec l’Auth0 Management API. Vous devrez supprimer toutes les valeurs du champ token_endpoint_auth_method et ajouter des valeurs dans le champ client_authentication_methods.

Si vous mettez à jour une application de production existante pour qu’elle s’authentifie avec private_key_jwt, nous vous recommandons de conserver en lieu sûr votre valeur actuelle de client_secret pour référence ultérieure.Après avoir configuré private_key_jwt, vous ne pourrez plus accéder à la valeur client_secret, à moins de rétablir la configuration de votre application pour utiliser un Client Secret.

Une fois la paire de clés générée, créez la ressource d’identification. Effectuez la requête POST suivante à l’endpoint /clients de la Management API.

Auth0 CLI
cURL

auth0 api post "clients/{clientId}/credentials" \
  --data '{
            "name": "{credentialName}",
            "credential_type": "public_key",
            "pem": "{credentialPublicKey}",
            "alg": "{algorithm}",
            "expires_at ": "{expiresAt}",
  }'

curl --location --request POST 'https://{domain}/api/v2/clients/{clientId}/credentials' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "name": "{credentialName}", 
          "credential_type": "public_key", 
          "pem": "{credentialPublicKey}",
          "alg": "{algorithm}",
          "expires_at ": "{expiresAt}",
}'

Paramètre	Description
`algorithme`	Algorithme utilisé pour signer les assertions. Les valeurs prises en charge sont RS256, RS384 et PS256. Si rien n’est précisé, l’algorithme par défaut est RS256.
`clientId`	ID de l’application à mettre à jour.
`credentialName`	Nom de la clé publique.
`managementApiAccessToken`	Jeton d’accès pour la Management API ayant la portée `create:credentials`.
`pem`	Clé publique ou certificat x.509, encodés au format PEM.
`expires_at`	Facultatif. Date d’expiration de l’information d’authentification au format ISO 8601. Par exemple : `2020-08-20T19:10:06.299Z`. Une fois cette date passée, l’information d’authentification n’est plus valide.
`parse_expiry_from_cert`	Facultatif. Un booléen qui indique qu’Auth0 doit extraire la date d’expiration lorsqu’un certificat est fourni. Si aucun certificat n’est fourni, Auth0 renverra une erreur. `parse_expiry_from_cert` et `expires_at` s’excluent mutuellement. Dans ce cas, Auth0 renverra une erreur.

La clé publique PEM doit être échappée au format JSON avant d’être transmise à Auth0. Dans cet exemple, le contenu que nous devons transmettre est :

L’ID du justificatif est renvoyé dans la réponse. Utilisez-le à l’étape suivante.Après avoir créé le credential, associez-le à votre application. Votre application utilise ces credentials lors de l’authentification avec private_key_jwt.Envoyez une requête PATCH à l’endpoint Update a Client de la Management API :

Auth0 CLI
cURL

auth0 api patch "clients/{clientId}" \
  --data '{
         "token_endpoint_auth_method": null,
         "client_authentication_methods": {
            "private_key_jwt": {
               "credentials": [{ "id": {credentialId} }]
            }
         }
  }​​'

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": null, 
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": {credentialId} }]
             }
          }
   }​​'​​

Paramètre	Description
`clientId`	ID de l’application à mettre à jour.
`managementApiAccessToken`	Jeton d’accès pour l’API de gestion avec les portées `update:client` et `update:credentials`.
`credentialId`	ID des informations d’identification que vous avez créées.
`pem`	La clé publique au format PEM.

Auth0 ne prend pas en charge l’utilisation de HS256 comme algorithme de signature JWT pour l’application. Le champ jwt_configuration.alg doit être défini sur l’algorithme RS256. Pour savoir comment modifier l’algorithme de signature, consultez Modifier les algorithmes de signature de l’application.

Configurer une application pour utiliser l’authentification par secret client

Pour rétablir la configuration de votre application afin d’utiliser un Client Secret, vous devez désactiver client_authentication_methods et réactiver token_endpoint_auth_method avec la méthode d’authentification.

Une fois votre méthode d’authentification configurée avec client_secret, vos applications ne pourront plus s’authentifier au moyen de private_key_jwt tant que vous ne les aurez pas mises à jour pour s’authentifier avec client_secret.

Exemple

Auth0 CLI
cURL

auth0 api patch "clients/{clientId}" \
  --data '{
         "token_endpoint_auth_method": "{tokenEndpointAuthMethod}",
         "client_authentication_methods": null
  }​​'

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "token_endpoint_auth_method": "{tokenEndpointAuthMethod}", 
          "client_authentication_methods": null
   }​​'​​

Paramètre	Description
`clientId`	ID de l’application mise à jour.
`managementApiAccessToken`	Jeton d’accès pour la Management API avec les scopes `update:client` et `update:credentials`.
`tokenEndpointAuthMethod`	Méthode d’authentification finale. Par exemple : `client_secret_basic` ou `client_secret_post`.

Mettre à jour les informations d’identification avec un champ d’expiration

Vous pouvez mettre à jour un identifiant existant avec une date d’expiration à l’aide du point de terminaison Update a credential de l’API de gestion.

Auth0 CLI
cURL

auth0 api patch "clients/{clientId}/credentials/{credentialId}" \
  --data '{
         "expires_at": {expiresAt}
  }'

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId}/credentials/{credentialId} ' \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "expires_at": {expiresAt}
   }'

Paramètre	Description
`managementApiAccessToken`	Jetons d’accès pour la Management API avec les portées `update:credentials`.
`clientId`	Le client à mettre à jour.
`expires_at`	La date d’expiration de l’identifiant d’authentification au format ISO 8601. Par exemple, `2020-08-20T19:10:06.299Z`.

Le seul champ que vous pouvez mettre à jour est le champ expires_at. Les autres attributs sont immuables et nécessitent une rotation du credential pour être modifiés.

Limites des identifiants

Auth0 impose une taille minimale de 2 048 bits et une taille maximale de 4 096 bits pour les clés RSA. Les applications peuvent avoir au plus deux identifiants configurés.

Effectuer la rotation des identifiants

Pour éviter qu’une fuite de clés ne compromette la sécurité, Auth0 recommande d’effectuer périodiquement la rotation de la paire de clés. Pour savoir comment procéder, consultez Effectuer la rotation des identifiants.

Apprendre les bases

Configuration d’Auth0

Planification et conception

Auth0 AI

Configurer l’authentification Private Key JWT

Prérequis

Configurer Private Key JWT

Configurer une nouvelle application pour `private_key_jwt`

Configurer une application existante

Configurer une application pour utiliser l’authentification Client Secret

Mettre à jour l’expiration d’un identifiant

Configurer une nouvelle application pour « private_key_jwt »

Configurer une application existante

Configurer une application pour utiliser l’authentification par secret client

Mettre à jour les informations d’identification avec un champ d’expiration

Limites des identifiants

Effectuer la rotation des identifiants

En savoir plus

​Prérequis

​Configurer Private Key JWT

​Configurer une nouvelle application pour private_key_jwt

​Configurer une application existante

​Configurer une application pour utiliser l’authentification Client Secret

​Mettre à jour l’expiration d’un identifiant

​Configurer une nouvelle application pour « private_key_jwt »

​Configurer une application existante

​Configurer une application pour utiliser l’authentification par secret client

​Mettre à jour les informations d’identification avec un champ d’expiration

​Limites des identifiants

​Effectuer la rotation des identifiants

​En savoir plus

Prérequis

Configurer Private Key JWT

Configurer une nouvelle application pour `private_key_jwt`

Configurer une application existante

Configurer une application pour utiliser l’authentification Client Secret

Mettre à jour l’expiration d’un identifiant

Configurer une nouvelle application pour « private_key_jwt »

Configurer une application existante

Configurer une application pour utiliser l’authentification par secret client

Mettre à jour les informations d’identification avec un champ d’expiration

Limites des identifiants

Effectuer la rotation des identifiants

En savoir plus