データベース接続向けのパスキー認証

パスキーは、FIDO2 (WebAuthn および CTAP) 標準に基づく、安全なパスワードレス認証方法です。従来の識別子/パスワードによる認証と比べて、いくつかの利点があります。

• パスキーを使うと、ユーザーは生体認証やデバイスに紐づいた資格情報 (指紋、PIN、パターンなど) で認証できるため、ログインが速くなり、パスワードを覚えておく必要もありません。
• パスキーはデバイス間で資格情報を同期できるため、ユーザーは新しいデバイスごとに再登録する必要がありません。
• パスキーはフィッシングに強いです。公開鍵暗号方式を使用するため共有シークレットが存在せず、さらにユーザーのデバイスがアカウントごとに一意のキーを生成するからです。
• パスキーは、より確実な復旧をサポートします。保存された資格情報は、利用を開始した元のデバイスを失っても引き続き使えるためです。
• パスキーは資格情報を特定のドメインに結び付けるため、ユーザーは 1 つのパスキーでドメイン全体にわたって認証できます。

パスキーの詳細については、FIDO Alliance のパスキーの概要をお読みください。

​

Auth0 のパスキーについて

Auth0 では、アプリケーションの種類に応じて、データベース接続の認証方法としてパスキーを次の 3 つの方法で実装できます。

• Web アプリケーション向け Universal Login パスキー
• 埋め込みログインのネイティブアプリケーション
• Android および iOS アプリケーション向け Native パスキー

Auth0 では、ユーザー 1 人あたり最大 20 個のパスキーまで使用できます。 データベース接続でパスキーを有効にすると、サインアップ時とログイン時にユーザーがパスキーを利用できるようになります。 パスキーは、ユーザーの既存の資格情報を置き換えたり無効にしたりするものではありません。ユーザーがパスキーを作成すると、認証方法としてそのアカウントに追加されますが、既存のメールアドレス／ユーザー名とパスワードによる資格情報も引き続き有効です。

​

ログイン時にパスワードとパスキーを提供する

同じログイン体験でパスキーとパスワードを併用でき、エンドユーザーはどちらの方法を使用するかを選択できます。データベース接続でパスキーを有効にしても、その接続でパスワード認証が許可されている限り、パスワードによるサインインは引き続き利用できます。 データベース接続のパスキーポリシーでは、ログイン時のパスキーの表示方法を制御します。

• 自動入力 (条件付き UI) : エンドユーザーがメールアドレスまたはユーザー名フィールドにフォーカスすると、資格情報マネージャーが、パスワードなどのほかの保存済み資格情報とともに、保存済みのパスキーを提示します。パスワードを使用したいユーザーは、この候補を無視して通常どおり資格情報を入力できます。
• パスキーボタン: ログイン画面には、標準の識別子フィールドとパスワードフィールドに加えて、パスキーで続行ボタンが表示されます。これにより、エンドユーザーはパスキーを選択することも、パスワードを使用することもできます。

自動入力、パスキーボタン、または両方を有効にできます。パスワードによるサインインを引き続き利用できるようにするには、接続でパスワード認証が許可されていることを確認し、接続のパスキーポリシーでこれらのオプションを設定してください。詳細については、Configure Passkey Policyを参照してください。

​

MFA が有効な場合のパスキー

MFA が有効になっている場合、設定とリスク評価に応じて、ユーザーはパスキーで認証した後に MFA チャレンジの完了を求められることがあります。 デフォルトの動作では、使用した認証方法がパスワードでもパスキーでも、MFA チャレンジを完了する必要があります。パスキーは高いセキュリティを提供するため、ユーザーの負担を減らす目的で、パスキーで認証したユーザーについては MFA をスキップできます。これは post-login Action を使用して実現できます。 詳しくは、Reduce friction with passkeys および Multi-Factor Authentication を参照してください。

​

パスキーと複数のカスタムドメイン (MCD)

テナントで複数のカスタムドメインが有効になっている場合、Auth0 はドメインとそのドメインのパスキーを 1 対 1 で対応付けます。パスキーが有効なデータベース接続を使用するユーザーは、作成されたドメインに紐付いたパスキーを使ってサインアップやログインを行えます。ユーザーがパスキーを登録できるのは 1 つのドメインに対してのみです (テナント上の複数のカスタムドメインのうち、最初に登録したドメイン) 。 パスワードレスログインでは、選択したカスタムドメインがパスワードレスログインフローのマジックリンクに反映されている必要があります。

​

パスキーの Relying Party ID

relying party identifier (RP ID) は、WebAuthn がパスキーなどの資格情報に関連付けるドメインです。RP ID は、認証に使用できるリクエスト元を定義します。 RP ID をオリジンのサフィックスとして定義すると、ユーザーは 1 つのパスキーでサブドメインをまたいで認証できます。たとえば、Web アプリケーションが login.example.com で提供され、ネイティブアプリケーションが app.example.com で提供されている場合、RP ID を example.com に設定すれば、エンドユーザーは 1 つのパスキーで両方のアプリケーション (および example.com の他のサブドメイン) を認証できます。 Auth0 では、RP ID をルートドメインまたは親ドメインに設定できるため、ユーザーは同じパスキーを使ってモバイルアプリケーションや Web アプリケーションで認証できます。複数のカスタムドメインを使用している場合は、各カスタムドメインに rp.id を設定することもできます。 RP ID をカスタマイズする方法については、Configure Passkey Policy を参照してください。

​

詳細情報

• パスキー認証を設定する
• テナントログでパスキーイベントを監視する