Configurer la liaison à l’émetteur

• Configurer la liaison à l’émetteur pour une application cliente
• Configurer la liaison à l’émetteur pour un serveur de ressources

​

Fonctionnement

1. Audience demandée : Dans une demande de jeton, le fait que l’audience demandée soit uniquement /userinfo, qu’elle soit destinée à être utilisée seulement avec le point de terminaison /userinfo, ou qu’il s’agisse d’une API personnalisée pouvant inclure /userinfo lorsque vous demandez aussi la portée openid, a une incidence sur le fait que les jetons d’accès soient liés à l’émetteur.
2. Application cliente : Si vous définissez la liaison à l’émetteur sur required pour l’application cliente.
3. Serveur de ressources : Si vous configurez la liaison à l’émetteur pour le serveur de ressources :
   1. none : Vous n’avez pas configuré la liaison à l’émetteur pour le serveur de ressources.
   2. allowed : Vous avez configuré la liaison à l’émetteur pour le serveur de ressources en définissant une méthode de liaison à l’émetteur.
   3. required : Vous avez configuré la liaison à l’émetteur comme obligatoire pour le serveur de ressources, ce qui signifie que les jetons d’accès doivent être liés à l’émetteur pour une application. Vous pouvez exiger la liaison à l’émetteur pour toutes les applications ou seulement pour les applications publiques. Nécessite une méthode de liaison à l’émetteur.

• Preuve de possession : Si l’application cliente a envoyé une assertion de preuve de possession dans la demande de jeton :
  • liaison à l’émetteur mTLS : La preuve de possession est démontrée par la présentation réussie par le client d’une clé privée précise (associée à un certificat client) pendant la négociation TLS.
  • DPoP : La preuve de possession est obtenue lorsque le client crée un DPoP Proof JWT en le signant cryptographiquement avec sa clé privée et en incluant le DPoP Proof JWT DPoP dans l’en-tête HTTP DPoP de chaque requête où le jeton d’accès associé est utilisé.

​

Configurer la liaison à l’émetteur pour une application cliente

• Auth0 Dashboard
• Management API

1. Accédez à Dashboard > Applications > Applications. Sélectionnez l’application que vous souhaitez configurer.
2. Sous Settings, faites défiler jusqu’à Token Sender-Constraining.
3. Activez la bascule pour Require Sender Constraining. Désactivez-la pour supprimer l’exigence de liaison à l’émetteur pour l’application.

Pour configurer un client pour la liaison à l’émetteur, utilisez la Management API.Pour exiger la liaison à l’émetteur pour un client, envoyez une requête PATCH pour mettre à jour les paramètres du client. Définissez le paramètre require_proof_of_possession à true.

• Auth0 CLI
• cURL

Vous utilisez l’Auth0 CLI ? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api patch "clients/{YOUR_CLIENT_ID}" \
  --data '{"require_proof_of_possession": true}'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-d '{"require_proof_of_possession": true}'

Pour supprimer l’exigence de liaison à l’émetteur, définissez le paramètre require_proof_of_possession à false.

• Auth0 CLI
• cURL

auth0 api patch "clients/{YOUR_CLIENT_ID}" \
  --data '{"require_proof_of_possession": false}'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-d '{"require_proof_of_possession": false}'

​

Configurer la liaison à l’émetteur pour un serveur de ressources

• Auth0 Dashboard
• Management API

Pour activer Token Binding ou la liaison à l’émetteur, configurez les API Settings de votre API.

1. Accédez à Auth0 Dashboard > Applications > APIs.
2. Sélectionnez l’API que vous souhaitez configurer.
3. Sous l’onglet Settings, repérez la section Token Sender-Constraining.
4. Configurez les éléments suivants :
   1. Sender Constraining Method :
      1. None: N’activez aucune méthode de liaison à l’émetteur pour votre serveur de ressources.
      2. mTLS: Activez mTLS comme méthode de liaison à l’émetteur pour votre serveur de ressources.
      3. DPoP: Activez DPoP comme méthode de liaison à l’émetteur pour votre serveur de ressources.
   2. Require Token Sender Constraining : Sélectionnez la policy de liaison à l’émetteur qui s’applique à cette API :
      1. Always: Exigez la liaison à l’émetteur pour toutes les applications. C’est la seule option offerte lorsque vous utilisez mTLS.
      2. For Public Applications: Exigez la liaison à l’émetteur uniquement pour les applications publiques. Cette option n’est pas offerte lorsque vous utilisez mTLS.
      3. Never: La liaison à l’émetteur n’est pas requise.

Pour activer la contrainte d’émetteur (Sender Constraining) avec l’API Management, envoyez une requête PATCH pour mettre à jour le serveur de ressources. Définissez les paramètres de l’objet proof_of_possession comme suit :

Paramètre	Description
mechanism	Définit la méthode de liaison à l’émetteur : none, mtls ou dpop.
required	Obligatoire. Lorsqu’il est défini à true, les jetons d’accès émis à une application pour cette API seront liés à cette application. Utilisez required_for pour préciser les types d’application visés par cette exigence. Lorsqu’il est défini à false, la liaison à l’émetteur n’est pas requise.
required_for	Filtre les types d’application pour lesquels la liaison à l’émetteur est requise lorsque required est défini à true : all_clients (toutes les applications) ou public_clients (applications publiques seulement). La valeur par défaut est all_clients si elle n’est pas précisée. Lorsque vous utilisez mTLS, seule la valeur all_clients est valide.

L’exemple de code suivant montre un corps de requête qui configure un serveur de ressources pour la contrainte d’émetteur mTLS. Comme mTLS ne prend en charge que all_clients pour required_for (qui est la valeur par défaut), il n’est pas nécessaire de le préciser :

• Auth0 CLI
• cURL

auth0 api patch "resource-servers/{YOUR_RESOURCE_SERVER_ID}" \
  --data '{
    "proof_of_possession": {
      "mechanism": "mtls",
      "required": true
    }
  }'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
  "proof_of_possession": {
    "mechanism": "mtls",
    "required": true
  }
}'

L’exemple de code suivant présente un corps de requête qui configure un serveur de ressources pour la contrainte de l’émetteur DPoP, requis uniquement pour les applications publiques :

• Auth0 CLI
• cURL

auth0 api patch "resource-servers/{YOUR_RESOURCE_SERVER_ID}" \
  --data '{
    "proof_of_possession": {
      "mechanism": "dpop",
      "required": true,
      "required_for": "public_clients"
    }
  }'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
  "proof_of_possession": {
    "mechanism": "dpop",
    "required": true,
    "required_for": "public_clients"
  }
}'

L’exemple de code suivant configure la contrainte d’émetteur DPoP comme requise pour toutes les applications. Comme all_clients est la valeur par défaut, required_for peut être omis :

• Auth0 CLI
• cURL

auth0 api patch "resource-servers/{YOUR_RESOURCE_SERVER_ID}" \
  --data '{
    "proof_of_possession": {
      "mechanism": "dpop",
      "required": true
    }
  }'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
  "proof_of_possession": {
    "mechanism": "dpop",
    "required": true
  }
}'

L’exemple de code suivant désactive la contrainte d’émetteur pour un serveur de ressources (équivalent à sélectionner « Jamais » dans le tableau de bord) :

• Auth0 CLI
• cURL

auth0 api patch "resource-servers/{YOUR_RESOURCE_SERVER_ID}" \
  --data '{
    "proof_of_possession": null
  }'

curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
  "proof_of_possession": null 
}'