一般的なテナントの確認
テナント準備チェック
ソフトウェア開発ライフサイクルを支えられるようにテナント環境が設定されており、Dev、Test、Prod の各テナントが明確に分離されていることを確認してください。これにより、ローンチ後も継続する開発作業が本番環境に悪影響を及ぼすのを防げます。 どの企業にも何らかの形のソフトウェア開発ライフサイクル (SDLC) があり、開発プロセス全体を通してその戦略に沿う必要があります。たとえば、アプリケーション自体をテストするのと同じように、Auth0 との連携もテストできる必要があります。そのため、SDLC を支えられるように Auth0 テナントを構成することが重要です。その際のテナントレイアウトに関するベストプラクティスとしては、お客様が一般的に採用している一貫したパターンがあります。
場合によっては、開発環境に影響を与えずに変更をテストできるよう、1 つ以上のサンドボックス (例: company-sandbox1、company-sandbox2) を作成することもあります。こうした環境は、デプロイスクリプトなどのテストにも利用できます。
テナントの関連付けの確認
すべてのテナントが Auth0 の契約に関連付けられ、同じ機能を利用できるようにするには、すべてのテナントが貴社のアカウントに関連付けられていることを確認してください。各開発者がテスト用に独自のサンドボックスを作成する場合も、同じ権限を利用できるよう、それらを貴社のアカウントに関連付けるようにしてください。これを行うには、Auth0 の担当者または Auth0 Support Center にお問い合わせください。本番テナントを指定する
Auth0 が本番テナントを認識できるようにするには、Support Center で「production」フラグを設定して、必ず本番テナントを設定してください。テナント本番チェック
Auth0 には、多くの一般的なエラーを検出するための Production Check 機能があります。ローンチ前にこのチェックを実行し、レポートで指摘された事項に対処しておく必要があります。 さらに、自動では確認できない項目については、ベストプラクティス構成に関するアドバイス も確認してください。テナント設定の確認
テナント設定
問題が発生した際にユーザーがサポートの受け方を把握できるよう、ロゴ、サポートメール、サポート URL を設定する際は、Auth0 の テナント設定 の推奨事項に必ず従ってください。あわせて、 のセッションタイムアウト設定と、本番テナントにアクセスできる Dashboard の Admin 一覧も確認しておくとよいでしょう。エラーページのカスタマイズ
ユーザーによる対話型のワークフロー (例: サインアップやログイン) の実行中に問題が発生すると、Auth0 は内部的に何が問題なのかを示すエラーメッセージを表示します。ただし、デフォルトのメッセージはやや分かりにくく、特にエンドユーザーにとってはそうです。エンドユーザーには、あなたが補足できる文脈情報が不足していることが多いためです。そのため、不足している文脈に応じた情報をユーザーに直接伝えられるよう、エラーページをカスタマイズすることをお勧めします。さらに、エラーページをカスタマイズすれば、Auth0 ではなく自社のブランドを表示できるだけでなく、次に何をすべきかについて役立つ情報もユーザーに提供できます。たとえば、FAQ へのリンクや、貴社のサポートチームまたはヘルプデスクへの連絡方法などを含めることができます。ベストプラクティス
標準では、Auth0 が提供するエラーページをカスタマイズするためのユーザーインターフェースは用意されていませんが、設定には Management API の Tenant Settings エンドポイントを使用できます。別の方法として、独自のエラーページを作成してホストできる場合は、Auth0 がホストするページの代わりに、そのページへユーザーをリダイレクトするよう Auth0 を設定することもできます。レガシー機能フラグをオフにする
古くからあるテナントでは、テナント設定のAdvancedタブで複数のレガシー機能フラグが有効になっている場合があります。このタブの「Migrations」セクションでいずれかのトグルがオンになっている場合は、現在の利用状況を確認し、レガシー機能から移行する計画を立ててください。Delegated Admin Extension
本番テナントにアクセスできるユーザー一覧を確認する際は、Delegated Admin Extension で指定されているユーザーも忘れずに確認してください。カスタムドメイン名の設定
デフォルトでは、テナントに関連付けられた URL には、その名前と、場合によってはリージョン固有の識別子が含まれます。たとえば、米国のテナントの URL はhttps://example.auth0.com のようになり、ヨーロッパのテナントでは https://example.eu.auth0.com のような形式になります。カスタムドメイン を使用すると、組織 のブランドに合った名前を使って、ユーザーに一貫した体験を提供できます。
さらに、機能を使うことで、証明書管理プロセスを完全に制御できます。デフォルトでは Auth0 が標準の SSL 証明書を提供しますが、カスタムドメインを設定すれば、Extended Validation (EV) SSL 証明書などを使用して、訪問者により大きな安心感を与えるブラウザベースの視覚的な संकेतを提供できます。
一般に、認証には一元化されたドメインを使用するお客様が、最も高い成果を上げています。これは特に、その企業が複数の製品やサービスブランドを提供している場合に当てはまります。一元化されたドメインを使用することで、エンドユーザーに一貫したユーザー体験を提供できるだけでなく、Auth0 で複数の本番テナントを維持する必要も最小限に抑えられます。
アプリケーションと接続設定の確認
各接続設定は、接続設定のベストプラクティスに照らして確認する必要があります。 また、すべての接続が適切であり、本番テナントに実験用の接続が残っていないことも確認してください。そうした接続があると、不正アクセスを招くおそれがあります。 接続を使用している場合は、接続が SAML リクエストに署名するよう設定することがベストプラクティスです。ページのカスタマイズ確認
Auth0 のページ、パスワードリセットページ、または Guardian のを使用している場合は、エンドユーザーに表示されるページが適切にカスタマイズされていることを確認してください。Universal Login Page
Universal Login は、ユーザーを認証するための推奨される方法であり、その中心となるのがログインページです。ログインページは、組織 のブランディング要件 に合わせてカスタマイズできます。ベストプラクティス
Universal Login ページをカスタマイズするには、ページテーマ を変更できるほか、動的な ページテンプレート を作成することもできます。クラシックログイン を実装し、ログインページのスクリプトをカスタマイズする場合は、バージョン管理を利用することを強くおすすめします。これを行うには、deployment automation または alternative strategies のいずれかを使用して、スクリプトを Auth0 テナントにデプロイしてください。パスワードリセットページ
Password Resetページは、ユーザーがパスワードを変更する際に使用され、ログインページと同様に、組織固有のブランディング要件を反映するようにカスタマイズできます。Guardian
多要素認証のページは、Universal Login 設定セクションで Universal Login のブランディングオプションを調整することでカスタマイズできます。 さらに細かくカスタマイズする必要がある場合は、組織固有の UX 要件に合わせて、HTML コンテンツ全体をカスタマイズすることもできます。認可の確認
Auth0 の認可機能を使用している場合は、付与されているすべての権限を必ず見直し、本番環境に適した認可設定になっていることを確認してください。API設定の確認
アクセストークンの有効期限
本番環境の各APIに対して適切な設定になっていることを確認するため、APIアクセストークンの有効期限設定を再確認してください。API のオフラインアクセス
アプリケーションがを要求しない場合は、これをオフにしてください。アクセストークンの署名アルゴリズム
署名鍵の露出を最小限に抑えるため、API アクセストークンの署名アルゴリズム は、HS256 ではなく RS256 に設定することを推奨します。API アクセストークンのバリデーション
カスタム API がある場合は、それらが受け取ったアクセストークンを十分にバリデーションしてから、その中の情報を使用していることを必ず確認してください。API スコープ
いずれかの API に対してマシンツーマシンの呼び出しを行うアプリケーションがある場合は、その API に指定されているスコープを見直し、いずれも本番環境に適切であることを確認してください。詳しくは、クライアントクレデンシャルグラント に関するドキュメントを参照してください。メールテンプレートのカスタマイズ
Auth0 では、ユーザーへの通知や、安全なアイデンティティ管理に必要な機能 (たとえば、メールアドレスの確認、アカウントの復旧、ブルートフォース対策) のためにメールを広く利用しており、そのためのテンプレートが複数用意されています。メールテンプレートをカスタマイズする前に、メールプロバイダーを設定してください。