S’authentifier avec Private Key JWT

1. Créez l’assertion du client. Cette assertion est un JWT signé à l’aide de la clé privée générée avec la paire de clés. Pour savoir comment générer une paire de clés, consultez Configurer l’authentification Private Key JWT.
2. Utilisez l’assertion pour vous authentifier auprès d’Auth0.

​

Créer l’assertion

• En-tête
  • alg : l’algorithme utilisé pour signer l’assertion. Il doit correspondre à celui indiqué lorsque vous avez créé le credential de votre application.
  • kid: (facultatif) le kid généré par Auth0 pour le credential. Le kid est créé au moment de la création du credential.
• Payload
  • iss: le Client ID de votre application. Vous trouverez cette valeur dans les paramètres de votre application, sous Auth0 Dashboard > Applications > Applications, puis dans l’onglet Settings.
  • sub: le Client ID de votre application. Vous trouverez également cette valeur dans les paramètres de votre application, sous Auth0 Dashboard > Applications > Applications, puis dans l’onglet Settings.
  • aud: l’URL du tenant Auth0 ou du domaine personnalisé qui reçoit l’assertion. Par exemple : https://{yourTenant}.auth0.com/. Incluez la barre oblique finale.
    Si vous avez configuré un domaine personnalisé pour votre tenant Auth0, vous pouvez l’utiliser comme claim aud. Dans ce cas, nous vous recommandons d’utiliser le domaine personnalisé.
  • iat (facultatif), nbf (facultatif) et exp : les claims Issued At, Not Before et Expiration, définis avec les horodatages appropriés. Un décalage d’horloge maximal de 10 secondes est permis pour iat et nbf (s’ils sont présents) afin d’assurer l’interopérabilité. L’assertion du client est un jeton à usage unique, et nous recommandons la durée d’expiration la plus courte possible. Auth0 prend en charge une durée de vie maximale de 5 minutes pour un jeton.
  • jti : un ID de claim unique créé par le client. Nous recommandons d’utiliser le format Universally Unique Identifier (UUID).
    Ce JWT est un jeton à usage unique et doit être traité comme tel en lui donnant une courte durée d’expiration. Nous recommandons un maximum de 1 minute.

​

Exemple

const { SignJWT } = require('jose')
const crypto = require("crypto");
const uuid = require("uuid");

async function main() {
 const privateKeyPEM = crypto.createPrivateKey(/**
   Lisez le contenu de votre clé privée ici. Nous vous recommandons de stocker votre clé privée
   dans une infrastructure sécurisée. 
 */);

 const jwt = await new SignJWT({})
   .setProtectedHeader({ 
      alg: 'RS256', // ou RS384 ou PS256
      kid: '(OPTIONAL) KID_GENERATED_BY_AUTH0' 
   })
   .setIssuedAt()
   .setIssuer('CLIENT_ID')
   .setSubject('CLIENT_ID')
   .setAudience('https://YOUR_TENANT.auth0.com/') // ou votre CUSTOM_DOMAIN
   .setExpirationTime('1m')
   .setJti(uuid.v4())
   .sign(privateKeyPEM);
  console.log(jwt)
}

main();

{
  "alg": "RS256",
  "kid": "my kid"
}
{
  "iat": 1626684584,
  "iss": "my client id",
  "sub": "my client id",
  "aud": "https://mytenant.auth0.com/",
  "exp": 1626684644,
  "jti": "e4dc8ed1-b108-4901-8bbc-c07a791817e7"
}

​

Échanger une assertion contre des jetons d’accès

• $client_assertion : assertion JWT
• $resource_server_identifier : identifiant du serveur de ressources. Pour en savoir plus, consultez Enregistrer des API.

curl --location --request POST 'https://$tenant/oauth/token' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer' \
  --data-urlencode 'client_assertion=$client_assertion' \
  --data-urlencode 'audience=$resource_server_idenifier'

​

Points de terminaison pris en charge

• POST /oauth/revoke
• POST /mfa/challenge
• POST /passwordless/start

​

Limites de l’assertion

• iss : 64 caractères
• sub : 64 caractères
• jti : 64 caractères
• alg : 16 caractères

​

Pour en savoir plus

• Configurer l’authentification Private Key JWT
• Authentification client Private Key JWT pour les connexions Okta et OIDC