Rotation des informations d’identification

Auth0 recommande d’effectuer régulièrement la rotation du matériel de clé afin de répondre à vos exigences de conformité et de s’assurer que la sécurité n’est pas compromise par des clés privées divulguées. Vous pouvez utiliser le ou l’ pour mettre en service de nouvelles clés. Vous devez créer une nouvelle information d’identification, l’associer à la méthode d’authentification private_key_jwt, puis supprimer les informations d’identification anciennes ou inutilisées.

La limite de stockage actuelle de l’application est de deux informations d’identification à la fois. Pour effectuer plusieurs rotations de nouvelles informations d’identification, vous devez supprimer les informations d’identification inutilisées.

Utiliser Auth0 Dashboard
Utiliser Management API

Pour effectuer la rotation des informations d’identification de votre application dans Auth0 Dashboard :

Accédez à Auth0 Dashboard > Applications > Application et sélectionnez l’application que vous souhaitez mettre à jour.
Ouvrez l’onglet Credentials.
Dans la section Available Credentials, sélectionnez Add New Key.
Saisissez un nom pour votre nouvelle information d’identification, la clé publique au format PEM et l’algorithme de cette nouvelle information d’identification.
Sélectionnez Add Credential.
Pour activer votre nouvelle information d’identification, ouvrez le menu correspondant et choisissez Enable for Private Key JWT use.
Une fois vos applications mises à jour pour utiliser la nouvelle information d’identification, désactivez l’ancienne :
1. Sélectionnez Disable for Private Key JWT Use.
2. Une fois l’ancienne information d’identification désactivée, retournez dans son menu et sélectionnez Delete Credential.

Dans les exemples de rotation ci-dessous, credential1 est une information d’identification existante actuellement utilisée, et credential2 est une nouvelle information d’identification qui la remplacera.

Générez une nouvelle paire de clés.
Créez la ressource d’information d’identification avec une requête POST à la Management API.
La limite actuelle de stockage par application est de deux informations d’identification à la fois. Pour effectuer régulièrement la rotation vers de nouvelles informations d’identification, vous devez supprimer celles qui ne sont pas utilisées.

Effectuez une requête PATCH vers le point de terminaison Update a Client de la Management API afin d’associer l’information d’identification à la méthode d’authentification private_key_jwt :

Auth0 CLI
cURL

Vous utilisez l’Auth0 CLI? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api patch "clients/{clientId}" \
  --data '{
         "client_authentication_methods": {
            "private_key_jwt": {
               "credentials": [{ "id": {credentialId1} }, { "id": {credentialId2} }]
            }
         }
  }'

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer {managementApiAccessToken} \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": {credentialId1} }, { "id": {credentialId2} }]
             }
          }
   }'

Paramètre	Description
`clientId`	Application que vous souhaitez mettre à jour.
`credentialId1`	ID de l’information d’identification existante actuellement utilisée.
`credentialId2`	ID de la nouvelle information d’identification.
`managementApiAccessToken`	Jeton d’accès pour la Management API avec les scopes `update:clients` et `update:credentials`.

Mettez à jour votre application afin d’utiliser la nouvelle clé privée pour signer les assertions destinées à l’Auth0 Authentication API.

Retirez la clé inutilisée de votre application.

Auth0 CLI
cURL

auth0 api patch "clients/{clientId}" \
  --data '{
         "client_authentication_methods": {
            "private_key_jwt": {
               "credentials": [{ "id": {credentialId2} }]
            }
         }
  }'

curl --location --request PATCH 'https://{domain}/api/v2/clients/{clientId} \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": {credentialId2} }]
             }
          }
   }'

Supprimez la clé inutilisée de votre application. Cela supprimera définitivement l’information d’identification du stockage. Vous devez d’abord dissocier l’information d’identification de votre application, sinon vous ne pourrez pas la supprimer.

Auth0 CLI
cURL

auth0 api delete "clients/{clientId}/credentials/{credentialId}"

curl --location --request DELETE 'https://{domain}/api/v2/clients/{clientId}/credentials/{credentialId}' \
  --header 'Authorization: Bearer {managementApiAccessToken}

Paramètre	Description
`clientId`	Application que vous souhaitez mettre à jour.
`credentialId`	ID de l’ancienne information d’identification que vous souhaitez supprimer.
`managementApiAccessToken`	Jeton d’accès pour la Management API avec le scope `delete:credentials`.

Informations d’identification actives

Pour éviter toute interruption de service, vous pouvez laisser plusieurs informations d’identification actives pendant la rotation. Les applications peuvent continuer de fonctionner normalement avec les anciennes clés jusqu’à leur mise à jour. Les applications peuvent envoyer des assertions signées avec n’importe lequel des informations d’identification actives. Auth0 recommande de réduire au minimum la période pendant laquelle plusieurs informations d’identification sont utilisées. L’exemple ci-dessous utilise plusieurs informations d’identification associées :

Auth0 CLI
cURL

auth0 api patch "clients/$client_id" \
  --data '{
           "client_authentication_methods": {
              "private_key_jwt": {
                 "credentials": [{ "id": $credential1.id }, { "id": $credential2.id }]
              }
           }
  }'

curl --location --request PATCH 'https://$tenant/api/v2/clients/$client_id' \
  --header 'Authorization: Bearer $management_access_token' \
  --header 'Content-Type: application/json' \
  --data-raw '{
          "client_authentication_methods": {
             "private_key_jwt": {
                "credentials": [{ "id": $credential1.id }, { "id": $credential2.id }]
             }
          }
 }'

Apprendre les bases

Configuration d’Auth0

Planification et conception

Auth0 AI

Rotation des informations d’identification

Informations d’identification actives

En savoir plus

​Informations d’identification actives

​En savoir plus

Informations d’identification actives

En savoir plus