Auth0 の MACHINE TO MACHINE 認証によるAPIの認可

#Okta Customer Identity Cloud（Auth0）

#Okta

渡辺修司

2019.06.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

渡辺です。

認証と認可の元で実行されるAPIを開発しています。

一般ユーザはCognitoやAuth0といった認証基盤で認証され、APIへアクセスし許可された操作を行えるといった仕組みが一般的です。しかし、例えば、APIを実行するサービス自体がAPIであったり、CLIからAPIを実行したりするような場合、パスワード認証といった手段は現実的ではありません。 Auth0では、こういったユースケースで、 機器間認証（M2M: MACHINE TO MACHINE認証） を利用できます。

ゴール

M2M認証の設定を行えば、クライアントはAuth0へ認証リクエストを行い、アクセストークンを取得することができます。

「機器間（M2M）認証を使用する」より引用

※機器間（M2M）認証を使用するより

例えば、curlでは次のようなコマンドです。

curl --request POST \
  --url https://[YOUR DOMAIN].auth0.com/oauth/token \
  --header 'content-type: application/json' \
  --data '{"client_id":"XXXXX","client_secret":"XXXXXXX","audience":"https://api.example.com/v1","grant_type":"client_credentials"}'

レスポンスにはアクセストークンが含まれます。

{
  "access_token": "eyJ0XXXXXXXXXXXXXXX",
  "token_type": "Bearer"
}

クライアントは、このアクセストークンをヘッダに追加し、対象のAPIを実行します。

curl --request POST \
  --url https://api.example.com/checkin \
  --header 'content-type: application/json' \
  --header 'Authorization:Bearer eyJ0XXXXXXXXXXXXXXX'

このアクセストークンはデコードすると、次のようなペイロードを含みます。

{
  "iss": "https://[YOUR DOMAIN].auth0.com/",
  "sub": "XXXXXXXXXXXXXXXXX@clients",
  "aud": "https://api.example.com/v1",
  "iat": 1560430406,
  "exp": 1560516806,
  "azp": "zzzzzzzzzzzz",
  "scope": "checkin checkout",
  "gty": "client-credentials"
}

ペイロードの scope に認可するAPIのメソッドが含まれ、この情報を元にAPIはレスポンスを返すことができます。

つまり、クライアントでは、クライアントIDとクライアントシークレットにより、Auth0に認証リクエストを行い、アクセストークンを取得。アクセストークンをAPIに送り、APIで検証して認可することになります。この仕組みを利用すれば、ログインで利用する一般ユーザと同様の仕組みで、APIの認証と認可を実装可能です。