パスワードレス接続とパスワードレス認証
パスワードレス接続は、データベース接続、ソーシャル接続、エンタープライズ接続とは異なる独立した接続タイプです。パスワードレス接続は、特に次の用途で使用されます。 Auth0 のユーザーデータベースまたはソーシャルプロバイダーのユーザーが同じメールアドレスを使用していても、パスワードレス接続に関連付けられたアイデンティティは別のものです。アカウントリンクを使用すると、パスワードレス接続のアイデンティティを他の接続のアイデンティティに関連付けることができます。Auth0 Dashboard からパスワードレスユーザーを作成することはできません。サインアップが無効になっている場合は、Management API から直接作成してください。Connection フィールドには、メールアドレスを使用するパスワードレスユーザーには email を、携帯電話番号を使用するパスワードレスユーザーには SMS を指定します。
ソーシャルログイン
ソーシャルログインは、Google や Facebook などのソーシャルにある既存の資格情報を使って、ユーザーがアプリケーションにログインできる認証方法です。ソーシャルの資格情報はブラウザーやデバイスに保存されていることが多いため、ソーシャルログインでは、アプリケーション上での手動操作を最小限に抑えたシームレスなユーザー体験を提供できます。 ソーシャルログインの一般的なワークフローは次のとおりです。- ユーザーがアプリケーションのログイン画面にアクセスし、[provider] で続行 オプションを選択します。
- ユーザーは、選択したプロバイダーのプロンプトに従って、既存のソーシャル資格情報で認証します。
- ユーザーはアプリケーションにリダイレクトされ、ログインプロセスを完了します。
パスキー
パスキーは、FIDO® W3C Web Authentication (WebAuthn) および Client to Authenticator Protocol (CTAP) の仕様に基づく、従来の認証要素に代わるフィッシング耐性の高い認証手段です。 Auth0 は、データベース接続の認証方法としてパスキーをサポートしており、次の 2 つの実装方法を提供しています。- Web ベースのアプリケーション向けの Universal Login パスキー
- Android および iOS アプリケーション向けの Native パスキー
- ユーザーがアプリケーションの Universal Login ページにアクセスし、メールアドレスを入力します。
- 次にユーザーは、パスキーを作成するか、従来の認証を続けるかを選択できます。
- ユーザーが Create a new passkey を選択すると、ブラウザーのパスキーフローが開始し、生体認証などのデバイスの資格情報で認証するよう求められます。
- ローカル認証が完了すると、パスキーはユーザーのデバイスに保存され、パスキープロバイダー (iCloud や Google など) と同期されます。
SMSベースのパスワードレス認証
SMSベースのパスワードレス認証では、ワンタイムパスワード (OTP) と呼ばれる使い捨てコードを使って、ユーザーがアプリケーションにアクセスできます。この実装では、OTP は SMS でユーザーの電話番号に送信されます。 SMS ベースの OTP の一般的なワークフローは次のとおりです。- ユーザーがアプリケーションのログイン画面を開き、電話番号を入力します。
- Auth0 が SMS でユーザーに OTP を送信します。
- ユーザーはコードをコピーして、ログイン画面に戻ります。
- ユーザーは所定の入力欄にコードを入力し、アプリケーションにログインします。
この種類のパスワードレス認証は現在、テナント内で、他のデータベース、ソーシャル、エンタープライズ接続とは別の、固有の接続タイプとして扱われます。ユーザーがこの方法で認証されると、そのユーザーのプロファイルは、Auth0 を IDプロバイダー (IdP) とするパスワードレス接続上に作成されます。ユーザーが毎回同じメールアドレスまたは電話番号でログインするとは限らないため、Auth0 のデータストア内に複数のユーザープロファイルが作成されることがあります。重複が作成された場合は、アカウントリンクを行うことで、複数のユーザープロファイルを関連付けることができます。状況によっては、この種類のパスワードレス接続を通じて作成されたユーザープロファイルが、エンタープライズやソーシャルなど別の種類の接続に関連付けられたプロファイルと、識別子 (メールアドレスや電話番号など) を共有することがあります。その場合は、アカウントリンクを使用して、パスワードレスのプロファイルを他の接続のアイデンティティに関連付けることができます。
メールベースのパスワードレス認証
メールベースのパスワードレス認証には、次の2つの方法があります。この種類のパスワードレス認証は現在、テナント内で、他のデータベース、ソーシャル、エンタープライズ接続とは別の固有の接続タイプとして扱われます。ユーザーがこの方法で認証されると、そのプロファイルは、Auth0 を IDプロバイダー (IdP) とするパスワードレス接続上に作成されます。ユーザーが毎回同じメールアドレスまたは電話番号でログインするとは限らないため、Auth0 のデータストアに複数のユーザープロファイルが作成されることがあります。重複が作成された場合は、アカウントをリンクすることで、複数のユーザープロファイルを関連付けることができます。状況によっては、この種類のパスワードレス接続を通じて作成されたユーザープロファイルが、エンタープライズやソーシャルなど、別の種類の接続に関連付けられたプロファイルと同じ識別子 (メールアドレスや電話番号など) を持つことがあります。この場合は、アカウントリンクを使用して、パスワードレスのプロファイルを他の接続のアイデンティティに関連付けることができます。
ワンタイムパスワード
このパスワードレス認証方式では、ユーザーはワンタイムパスワード (OTP) と呼ばれる使い捨てコードを使ってアプリケーションにアクセスできます。この実装では、OTP はユーザーのメールアドレスに送信されます。 メールベースの OTP の一般的なワークフローは次のとおりです。- ユーザーがアプリケーションのログイン画面にアクセスし、メールアドレスを入力します。
- Auth0 がユーザーのメールアドレスに OTP を送信します。
- ユーザーはコードをコピーして、ログイン画面に戻ります。
- ユーザーは所定の欄にコードを入力し、アプリケーションにログインします。
マジックリンク
マジックリンクは、メールで送信されたリンクを通じてユーザーがアプリケーションにアクセスできるようにする、パスワードレス認証の方法です。ユーザーが一定時間内にそのリンクにアクセスしなかった場合、そのリンクは無効になります。 マジックリンクの一般的な流れは次のとおりです。- ユーザーがアプリケーションのログイン画面にアクセスし、メールアドレスを入力します。
- Auth0 が、入力されたメールアドレス宛てにマジックリンクを送信します。
- ユーザーがメール内のマジックリンクを選択すると、自動的にアプリケーションにログインします。
生体認証 (WebAuthn)
生体認証は、個人の身体的特徴を用いて本人確認を行い、アプリケーションへのアクセスを許可するパスワードレス認証の一種です。Auth0 は現在、指紋スキャンと顔認識による生体認証をサポートしています。Auth0 は現在もレガシーな Identifier First with Biometrics 認証方法をサポートしていますが、代わりに パスキーベースの認証 を使用することを強く推奨します。
- Universal Login を有効にする。
- データベース接続 を設定する。
- Identifier First + Biometrics 認証 を構成する。
- ユーザーがアプリケーションの Universal Login ページにアクセスし、メールアドレスを入力します。
- ユーザーはまず従来の資格情報で認証を行います。その後、デバイスを生体認証に登録するよう求められます。
- ユーザーが登録を選択した場合は、デバイスのプロンプトに従って生体認証の設定を完了します。