この記事を書いていたらAuth0のAdvent Calendarがあることに気づいたので、せっかくの機会と思い参加してみました。 はじめに Auth0を触るようになってから、WEBサイトやWEBサービスのログイン画面を見て 「あ、Auth0だ」と思うことがでてきました。 これ、Auth0に限らずIDaaSを使っている人あるあるネタらしいです。 そんな中、つい最近もAuth0が使われているWebサイトを見つけたんですが、ログイン画面でエラーが発生してしまいました。 エラーが発生した状況から推察するに、Auth0のApplication Login URIが設定されていなさそう…。 実はApplication Login URIを設定せずにAuth0を利用している人が他にも結構いるんでは？ という気がしてきたので、設定しないとどうなるかを紹介しようと思います。 ※この記事の内容は全部Auth0
Authentication is verifying that somebody is who they claim to be. Using Auth0, a third-party service, let’s implement an identification process for users of our application. Auth0 provides a universal authentication & authorization platform for web, mobile and legacy applications. They have gems that integrate nicely with Rails to accomplish this. To start, you’ll need to get your application key
Auth0とは Auth0は誰でも簡単に導入できる認証・認可プラットフォームです。 引用: Auth0 -公式- Railsアプリであれば従来deviseなどのgemを使い認証機能を実装したり、omniauth-twitterやomniauth-googleなどのgemでソーシャルログイン機能を実装していたと思います。 そんな機能をローコードで実現できるのがAuth0です。 （※ 間違いあればご指摘ください🪓） こんなログイン画面がノーコードで実現できちゃいます😎 （※ ログイン画面自体のコーディングは必要ないけど、各種設定のために多少のコードは書きます。） 作業環境 MacBook Air (M1, 2020) Ruby 3.0.2 Rails 6.1.4 前提条件 既にRailsアプリが存在しているものとします。 (認証・認可機能は未実装) ちなみにAuth0実装前のルーティングは
こんにちは、CX事業本部の若槻です。 認証管理プラットフォームAuth0では、Auth0テナントの設定やユーザーを管理するためのAPIが提供されています。 Auth0 Management API v2 合わせて、このAPIをNode.jsから利用するためのライブラリについても提供されています。 auth0/node-auth0: Node.js client library for the Auth0 platform. 今回は、Auth0 Management APIを使用してNode.jsでユーザーを管理してみました。 やってみた 準備 Machine to Machine アプリケーションの作成 Auth0 Management APIを使用するためには、管理したいAuth0テナントにMachine to Machine アプリケーションが必要なのでここで作成します。 Auth0の
Auth0 を BtoC 向けに利用する想定で、料金試算した内容をご紹介します。 背景 Auth0 を BtoC 向けの Web サービスで活用したい Auth0 を BtoC 向けの Web サービスで活用したく、コストパフォマンスが合うか調査したというのが背景です。 Auth0 Pricing ページを見ても Developer プランの場合は月間5万ユーザー以上の料金体系が問い合わせないと分からないので、問い合わせて質問してみました。 Developer, Developer Pro, Enterprise プランの比較 Developer vs Developer Pro Enterprise Connection を利用する、しないで判断する。 SAML とか必要なら Developer Pro を選択するべきですが、今回は BtoC 用途なので Developer プランで充分
Auth0でGoogleログイン！ 認証認可サービス「Auth0」は様々な接続方式に対応した、とても簡単に使えることが特長のサービスです。 Auth0アドベントカレンダーでは、その手軽さをお伝えすべく、Auth0が持つ様々な機能をご紹介できればと思います。 本記事ではAuth0のGoogle連携を使って Googleのソーシャルログイン機能 を試してみました！ Add Google Login to Your App Google連携はデフォルトで有効 Google連携はなんと、簡単に試せるようにテナント作成時にデフォルトで有効化されています。「！」マークがその証です。 しかしながらこの設定はあくまでも初期開発用のため、リフレッシュ時にログインが維持できないなどの制約があります。 Auth0のサンプルアプリケーション（JS）で Google ログインした場合にトークンが取得できない問題の回
調査する機会があったので、ブログにまとめてみました。 gRPCでは、データ通信にProtocol Buffersとよばれるシリアライゼーション形式を利用します。 Protocl Buffersは、データのシリアライゼーション形式として知られる一方で、シリアライズするためのスキーマ定義用として.protoファイルというインタフェース定義言語(IDL)を持っています。 実際の開発においては、この.protoファイルを先に作成することでスキーマファーストな進め方ができるのが大きな特徴です。 今回は、.protoファイルの作成～認可処理の実装～AWS環境へのデプロイまで一気通貫で紹介したいと思います。 せっかちな人へ GitHubリポジトリにすべて上げています。 構成図 ディレクトリ構成 $ tree -L 2 . ├── Dockerfile ├── go.mod ├── go.sum ├──
Modern secure applications often use access tokens to ensure a user has access to the appropriate resources, and these access tokens typically have a limited lifetime. This is done for various security reasons: for one, limiting the lifetime of the access token limits the amount of time an attacker can use a stolen token. In addition, the information contained in or referenced by the access token
iCARE Developer Meetupは、月次で開催している株式会社iCAREが主催するエンジニア向けのLT勉強会です。18回目の今回は、Ruby on Railsをテーマに行いました。サーバーサイドエンジニアの越川氏からはToken認証機能について。 Rails APIモードで開発するときの認証用のトークンはどこに保存すればいいの問題 越川佳祐氏：私からは、「Rails APIモードにおけるToken認証機能について」というテーマでLT（ライトニングトーク）をしようと思っていたんですが、スライドを作っていて「あれ、これ別にRailsだけの話じゃなくない？」と思ってしまいました。みなさんの中にも、そう思う方がいるかもしれないんですが、もうこれで作っちゃったのでご了承ください。 私は株式会社iCAREで、サーバーサイドエンジニアをしている、越川と申します。Twitterは@kossy0
概要 response_mode=web_message がわからなかったので、さくっとわかる範囲で調査をしてみた。ざっくりまとめると以下の理解。 SPA(Single Page Application) で prompt=none を使ったセッション確認が画面遷移を発生させずに行える 通常だと /authorize のレスポンスでリダイレクトが発生してしまうが、それだと SPA の利点が損なわれてしまう response_mode=web_message をつけることで、リダイレクトを発生させずに認可コードを取得することができる この資料がとてもわかりやすかった。私のざっくりした説明より詳細が書いてあるので、もう少し理解したい人はこれを読もう。 OAuth 2.0 Web Messaging Response Mode - OpenID Summit Tokyo 2015 そもそも re
Refresh Tokens RotationSecuring Single Page Applications with Refresh Token RotationHow Auth0 helps you securely maintain user sessions and engagement in the era of ITP TL;DRThe ability to maintain seamless experiences for end-users in Single Page Applications (SPAs) is often business-critical and can have an enormous impact on revenue.New browser privacy controls adversely impact the user experie
はじめに Auth0のUniversal Loginにはパスワードリセットの機能はありますが、ログインID（メールアドレス）を変更する機能がなさそうなので、Auth0を利用するアプリからメールアドレスを変更する方法を考えてみました。 メールアドレスの変更手順 単純にユーザーに新しいメールアドレスを入力してもらって、Management APIでメールアドレスを更新！ とやってしまうと、誤ったメールアドレスが入力された場合その内容で更新されてしまうのでログインが出来なくなってしまう恐れがあります。 新しいメールアドレスの妥当性を確認しつつ更新するには以下のような手順を踏む必要があると考えました。 ユーザーがアプリにログインする ユーザーに新メールアドレスを入力してもらう 新メールアドレスにメール送信 ユーザーは新メールアドレスに届いたメールを確認 新メールアドレスでユーザー情報（メールアドレ
Amazon EventBridgeでS3に格納したAuth0のイベントログをAmazon Athenaで検索する #reinvent #Auth0JP #Auth0アドカレ | DevelopersIO
Amazon EventBridgeとAuth0が連携！ re:Invent 2019の期間中、Amazon EventBridgeにアップデートがあり Auth0との連携がサポートされました！ 現在はBETAリリースとなっています。 Get More Out of Your Auth0 Logs with AWS EventBridge Integrating AWS EventBridge with Auth0 以下の記事では、Amazon EventBridgeとAuth0を連携し「Auth0のイベントログをS3に格納する」という機能を試してみました。 Amazon EventBridgeとAuth0を連携！S3にイベントログを格納する #reinvent #Auth0JP #Auth0アドカレ 本記事ではその発展形として、S3に格納してあるイベントログをAmazon Athenaを
Auth0でリフレッシュトークンのローテーションができるようになっていたので試してみました。 Auth0のBlog : Securing Single Page Applications with Refresh Token Rotation Auth0のリフレッシュトークンには有効期限がなかったので、ずっと同じリフレッシュトークンを使って新しいアクセストークンを取得することができました。 しかし、今回追加されたAuth0のリフレッシュトークンのローテーション機能を有効にすると、リフレッシュトークンを使って新しいアクセストークンを取得する際に、一緒に新しいリフレッシュトークンも返却されるようになります。また、同時に一度使用したリフレッシュトークンは無効化されるので、以降は都度新しいリフレッシュトークンを使ってトークンのリフレッシュをしていくことになります。 Auth0では上記のような仕様に
Auth0のHooksで検知できるイベントに「Post Change Password」が追加されたので、前々から実現したいと思っていたパスワードリセット時のリフレッシュトークンの無効化をやってみました。 設定手順 Applicationの追加 今回設定するHookはManagement APIを使うので、Hook用にManagement APIを叩くための権限を持たせたMachine to MachineのApplicationを用意します。 APIはAuth0 Management APIを選択し、scopeはread:device_credentialsとdelete:device_credentialsを設定します。 新しいHookを追加 Auth0のDashboardのHooksメニューから「Post Change Password」のHookを追加します。 ここから先は追加した
Very precisely, Is there a setting that I can provide for specific users so that they see a password reset form the first time they log in to the app? Sure, I can send the password change ticket instead of sending the randomly generated password to the user and subsequently, asking him to log in and change the password but the legal at my firm are not up for it. Just spitballing here … add an attr
20210128 エムスリー BIR勉強会資料 https://m3-engineer.connpass.com/event/200495/Read less
この記事はRetty Advent Calendar 2019 15日目です。 昨日は池田さんのドメイン知識を表すモデルでアジャイルな開発を支えるでした。 はじめに こんにちは！エンジニアリング部門の諏訪です。 みなさん普段フロントエンドとのapiのインターフェースには何を使っていますか？ 弊社ではマイクロサービス化を進めており、フロントエンドとのやりとりに一部GraphQLを採用していたりします。 ただデータ返すだけなら楽ですが、認証認可したくなることってよくありますよね。 今回検証のため、Auth0を使ってユーザー認証とGraphQLのリソースごとの認可の仕組みを作ってみようと思います。 今回フロントエンドではユーザーを特定するための認証を行い、バックエンドでtokenのバリデーションとリソースの認可をします。 ※ RettyのサービスにはAuth0は採用しておりません。 検証に使った
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
