多要素認証ページをカスタマイズする

これらのカスタマイズは、独自のユーザーインターフェースを持つ Duo には適用されません。

ページは、の Universal Login Settings セクションでのブランディングオプションを調整することで、ユーザー向けにカスタマイズできます。 Universal Login エクスペリエンスを使用している場合は、そのフローのカスタマイズオプションを使用してページをカスタマイズできます。 HTML コンテンツ全体をカスタマイズして、組織固有のユーザーエクスペリエンス要件を反映させることもできます。詳しくは、MFA Widget Theme Options をご覧ください。 Universal Login エクスペリエンスでは、MFA はさらにシンプルな形でユーザーに表示されます。ログインのために資格情報を入力すると、MFA 画面が表示されます。MFA の認証要素をまだ登録していない場合は登録を求められ、登録済みの場合は MFA の資格情報の提示を求められます。

MFA API を使用する

Auth0 では、次のシナリオ向けに MFA API を提供しています。

MFA API を使用するには、アプリケーションで MFA グラントタイプを有効にする必要があります。Auth0 Dashboard で MFA グラントを有効にするには、次の手順に従います。

Auth0 Dashboard > アプリケーション > アプリケーションに移動し、対象のアプリケーションを選択します。
Settings タブの下部で、Advanced Settings をクリックします。
Grant Types タブをクリックし、MFA を選択します。
詳しくは、多要素認証を有効にするを参照してください。
Save Changes をクリックします。

制限事項

MFA API は、SMS、Guardian アプリケーション内のプッシュ通知、メール、OTP の各認証要素に対応しています。Duo の登録には対応していません。

Actions で MFA ポリシーをカスタマイズする

Actions を使用すると、特定のアプリケーションのユーザーや、特定のユーザーメタデータまたは IP 範囲に該当するユーザーに MFA を必須にするなど、テナントの MFA ポリシーをカスタマイズできます。 Actions の作成に慣れていない場合は、Write Your First Action を参照してください。

Actions で定義した MFA 関連の動作は、Auth0 Dashboard の Multi-Factor Auth セクションで設定した Define policy の設定より常に優先されます。詳しくは、Enable Multi-Factor Authentication を参照してください。

Actions を作成する際は、provider 設定を使って、MFA を強制するかどうかや、使用する認証要素を指定できます。この動作は、クラシックログインと Universal Login エクスペリエンスのどちらを使用するかによって異なります。

Provider	Classic Experience	New Experience
any	Push、SMS、または OTP	Push、SMS、Voice、OTP、Email、または WebAuthN security key (有効な場合)
guardian	Push、SMS、または OTP	Push、SMS、OTP、または Email
google-authenticator	Google Authenticator	Push、SMS、OTP、または Email
duo	Duo	Duo

Universal Login を使用している場合は、MFA ログインページのカスタマイズを有効にすることで、クラシックログインエクスペリエンスと同じ動作にできます。

guardian と google-authenticator は、後方互換性のために残されているレガシー設定であり、今後は使用しないでください。代わりに any を使用することをお勧めします。google-authenticator オプションでは、ユーザーはリカバリーコードを登録できません。

provider を特定のオプションに設定すると、Auth0 Dashboard の有効/無効トグルよりもその設定が優先されます。次の Action を使用すると、Auth0 Dashboard で他の認証要素が有効になっている場合でも、ユーザーに Duo への登録を求めることができます。

exports.onExecutePostLogin = async (event, api) => {
    // プロバイダーをプログラムでDuoに強制する
    api.multifactor.enable('duo')
}

一般的なユースケースの例

以下は、Actions で対応できる、コンテキストに応じた MFA の一般的なシナリオです。

テナントで、MFA が Actions で明示的に要求された場合にのみトリガーされるようにするには、テナントの既定の MFA ポリシーを Never に設定します。詳しくは、多要素認証の認証要素の「Policies」セクションをご覧ください。

特定のアプリケーションで MFA を必須にする

MFA は、ユーザーが特定のアプリケーションにログインする場合にのみトリガーされるようにカスタマイズできます。

exports.onExecutePostLogin = async (event, api) => {
	const CLIENTS_WITH_MFA = [
		'{yourClientId1}', 
		'{yourClientId2}',
		'{yourClientId3}'
	];

	if (CLIENTS_WITH_MFA.includes(event.client.client_id)) {
		api.multifactor.enable('duo', { allowRememberBrowser: false })
	}
}

特定のユーザーに MFA を必須にする

MFA を使用するよう指定されたユーザーに対してのみ MFA がトリガーされるように、設定をカスタマイズできます。

exports.onExecutePostLogin = async (event, api) => {
  if (event.user.user_metadata && event.user.user_metadata.use_mfa) {
    api.multifactor.enable('duo', { allowRememberBrowser: false });
  }
}

MFAプロンプトの頻度を変更する

場合によっては、同じブラウザーからログインするたびにユーザーにMFAを求めたくないことがあります。これがRemember Me機能で、ユーザーはログインページ上のチェックボックスで選択でき、ユニバーサルログインとクラシックログインではデフォルトで有効になっています。

「Remember Me」のSession Behaviorの有効期間をOktaの標準的な推奨設定より長く変更したことによって生じるセキュリティ体制の低下については、お客様の責任となります。

Auth0 Dashboard
Management API
Auth0 Actions

設定	デフォルト	範囲
Idle Trusted Browser Lifetime	7日	1時間～30日
Maximum Trusted Browser Lifetime	30日	1時間～90日

Auth0 Dashboard > Security > Multi-factor Authに移動します。
下にスクロールしてAdditional Settingsを表示します。
Allow User to Skip MFA on Trusted Browsersをオンにします。
Remember browsers by defaultチェックボックスを選択します。
Idle Trusted Browser Lifetimeを日または時間単位で設定します。
Maximum Trusted Browser Lifetimeを日または時間単位で設定します。

必要なスコープ: read:tenant_settings (GET) 、update:tenant_settings (PUT)現在のGuardian設定を取得するには、/api/v2/guardian/settingsにGETリクエストを送信します。

cURL

curl --request GET \
  --url 'https://{YOUR_AUTH0_DOMAIN}/api/v2/guardian/settings' \
  --header 'authorization: Bearer MGMT_API_ACCESS_TOKEN'

Guardian設定を更新するには、/api/v2/guardian/settingsにPUTリクエストを送信します。

cURL

curl --request PUT \
  --url 'https://{YOUR_AUTH0_DOMAIN}/api/v2/guardian/settings' \
  --header 'authorization: Bearer MGMT_API_ACCESS_TOKEN' \
  --header 'content-type: application/json' \
  --data '{ "display_remember_me_checkbox": true, "remember_me_default_value": true, "mfa_session_inactivity_timeout": 604800, "mfa_session_overall_timeout": 2592000 }'

プロパティ	型	デフォルト	説明
`display_remember_me_checkbox`	boolean	`false`	ユニバーサルログインのMFAプロンプトにRemember this browserチェックボックスを表示するかどうか。
`remember_me_default_value`	boolean	`false`	Remember this browserチェックボックスをデフォルトでオンにするかどうか。
`mfa_session_inactivity_timeout`	integer (秒)	`604800` (7日)	この期間操作がないと、ユーザーにMFAが求められます。`mfa_session_overall_timeout`を超えることはできません。
`mfa_session_overall_timeout`	integer (秒)	`2592000` (30日)	操作の有無にかかわらず、この期間を過ぎるとユーザーにMFAが求められます。

Auth0 Actions Post-Login APIオブジェクトのallowRememberBrowserプロパティをtrueに設定できます。

exports.onExecutePostLogin = async (event, api) => {
  api.multifactor.enable('any', { allowRememberBrowser: true });
}

プロパティの値によって、動作は次のようになります。

値	説明
`true`	providerが`google-authenticator`または`duo`に設定されている場合、設定した信頼済みブラウザーの有効期間内では、セッションごとに1回だけユーザーにMFAが求められます。providerが`guardian`に設定されている場合は、MFAプロンプトに登録用チェックボックスが表示され、ユーザーは登録するかどうかを選択できます。デフォルトは`false`です。
`false`	認証するたびにユーザーにMFAが求められます。

これらの時間の値は、アクティブなユーザーに適用されます。ユーザーが一定期間操作を行わなかった場合はCookieが期限切れとなり、Remember Meの設定にかかわらず、次回のログイン試行時にMFAが求められます。ユーザーにMFAのスキップを許可すると、ユーザーのブラウザーにCookieが保存されます。Cookieが設定されている状態でもMFAを必須にしたい場合は、次の2つの方法があります。

allowRememberBrowserをfalseに設定する
/authorizeエンドポイントを呼び出す際に、acr_valuesをhttp://schemas.openid.net/pape/policies/2007/06/multi-factorに設定する

ユーザーが信頼済みデバイスを紛失した場合は、Auth0 の Invalidate Remember Browser エンドポイントを呼び出すことで、そのユーザーに次回のログイン時に MFA を求めることができます。

ネットワーク外のユーザーに MFA を必須にする

指定した内部 IP アドレスのネットワークへのアクセスが適切に管理されていることを前提に、Auth0 では、社内ネットワークの外部からリクエストを送信したユーザーに対してのみ MFA を要求することもできます。

exports.onExecutePostLogin = async (event, api) => {
  const ipaddr = require('ipaddr.js@1.9.0');
  const corp_network = '192.168.1.134/26';
  const current_ip = ipaddr.parse(event.request.ip);

  if (!current_ip.match(ipaddr.parseCIDR(corp_network))) {
    api.multifactor.enable('any', {allowRememberBrowser: false});
  }
}

リフレッシュトークンのリクエストではMFAを回避する

ユーザーから頻繁にログアウトされるという報告がある場合は、MFAを使用している際にのリクエストではMFAを回避する必要があるかもしれません。event.transaction.protocol オブジェクトプロパティに対するフィルター Action を使って、既定の動作を変更できます。

exports.onExecutePostLogin = async (event, api) => {
  if (event.transaction.protocol !== 'oauth2-refresh-token') {
    // MFA関連のコマンドをここに記述
    api.multifactor.enable('any');
  }
};

Action event オブジェクトの詳細については、Actions Triggers: post-login - Event Objectを参照してください。

アプリケーションの保護

Call APIs On User's Behalf

Protect Your Tenant

コンプライアンス

多要素認証ページをカスタマイズする

MFA API を使用する

制限事項

Actions で MFA ポリシーをカスタマイズする

一般的なユースケースの例

特定のアプリケーションで MFA を必須にする

特定のユーザーに MFA を必須にする

MFAプロンプトの頻度を変更する

ネットワーク外のユーザーに MFA を必須にする

リフレッシュトークンのリクエストではMFAを回避する

詳しくはこちら

​MFA API を使用する

​制限事項

​Actions で MFA ポリシーをカスタマイズする

​一般的なユースケースの例

​特定のアプリケーションで MFA を必須にする

​特定のユーザーに MFA を必須にする

​MFAプロンプトの頻度を変更する

​ネットワーク外のユーザーに MFA を必須にする

​リフレッシュトークンのリクエストではMFAを回避する

​詳しくはこちら

MFA API を使用する

制限事項

Actions で MFA ポリシーをカスタマイズする

一般的なユースケースの例

特定のアプリケーションで MFA を必須にする

特定のユーザーに MFA を必須にする

MFAプロンプトの頻度を変更する

ネットワーク外のユーザーに MFA を必須にする

リフレッシュトークンのリクエストではMFAを回避する

詳しくはこちら