Auth0 MFA ガイド

ユーザーアカウントを保護し、機密操作に対して追加の認証を要求するためのマルチファクタ認証を追加します。

---

概要

MFA とは

マルチファクタ認証 (MFA) では、ユーザーがアカウントにアクセスするために 2 つ以上の認証要素を提供する必要があります。Auth0 は複数の MFA ファクターをサポートし、機密操作に対してステップアップ認証を実現します。

このスキルを使用する時期

• ユーザーアカウントを保護するための MFA の追加
• 機密アクション (支払い、設定変更) に対する追加認証の要求
• 適応型/リスクベースの認証の実装
• コンプライアンス要件 (PCI-DSS、SOC2、HIPAA) への対応

サポートされている MFA ファクター

ファクター	タイプ	説明
TOTP	所有物	時間ベースのワンタイムパスワード (Google Authenticator、Authy)
SMS	所有物	テキストメッセージによるワンタイムコード
Email	所有物	メールによるワンタイムコード
Push	所有物	Auth0 Guardian アプリ経由のプッシュ通知
WebAuthn	所有物/属性	セキュリティキー、生体認証、パスキー
Voice	所有物	電話通話によるワンタイムコード
Recovery Code	バックアップ	ワンタイム限定の回復コード

主な概念

概念	説明
acr_values	認証中に MFA をリクエストする
amr クレーム	認証方法参照 - ユーザーがどのように認証したかを示す
ステップアップ認証	初回ログイン後の特定のアクション対に MFA を要求する
適応型 MFA	リスク信号に基づいて条件付きで MFA を要求する

---

ステップ 1: テナントで MFA を有効化

Auth0 ダッシュボード経由

1. Security → Multi-factor Auth に移動
2. 必要なファクター (TOTP、SMS など) を有効化
3. ポリシー を設定:
   • Always - すべてのログインで MFA を要求
   • Adaptive - リスクベースの MFA
   • Never - MFA を無効化 (ステップアップを代わりに使用)

Auth0 CLI 経由

# View current MFA configuration
auth0 api get "guardian/factors"

# Enable TOTP (One-time Password)
auth0 api put "guardian/factors/otp" --data '{"enabled": true}'

# Enable SMS
auth0 api put "guardian/factors/sms" --data '{"enabled": true}'

# Enable Push notifications
auth0 api put "guardian/factors/push-notification" --data '{"enabled": true}'

# Enable WebAuthn (Roaming - Security Keys)
auth0 api put "guardian/factors/webauthn-roaming" --data '{"enabled": true}'

# Enable WebAuthn (Platform - Biometrics)
auth0 api put "guardian/factors/webauthn-platform" --data '{"enabled": true}'

# Enable Email
auth0 api put "guardian/factors/email" --data '{"enabled": true}'

MFA ポリシーを設定

# Set MFA policy: "all-applications" or "confidence-score"
auth0 api patch "guardian/policies" --data '["all-applications"]'

---

ステップ 2: ステップアップ認証を実装

ステップアップ認証では、すべてのログインに要求することなく、機密操作に対して MFA を要求します。

acr_values パラメータ

認証リクエストに acr_values を含めることで MFA をリクエストします:

acr_values=http://schemas.openid.net/pape/policies/2007/06/multi-factor

実装パターン

すべてのフレームワーク共通の一般的なパターン:

1. ユーザーが MFA を完了したかどうか確認 (amr クレームを検査)
2. 完了していない場合、acr_values パラメータで MFA をリクエスト
3. MFA が検証されたら機密アクションを進める

フレームワーク固有の完全な例については、例ガイド を参照してください:

• React (基本およびカスタムフック)
• Next.js (App Router)
• Vue.js
• Angular

---

追加リソース

このスキルは、より良い組織化のため複数のファイルに分割されています:

ステップアップの例

すべてのフレームワークの完全なコード例:

• React (基本およびカスタムフックパターン)
• Next.js (App Router と API ルート)
• Vue.js (Composition API)
• Angular (サービスとコンポーネント)

バックエンド検証

バックエンドで MFA ステータスを検証する方法を学びます:

• Node.js / Express JWT 検証
• Python / Flask 検証
• ミドルウェア例

高度なトピック

高度な MFA 実装パターン:

• Auth0 Actions による適応型 MFA
• リスク信号に基づく条件付き MFA
• MFA 登録 API

リファレンスガイド

一般的なパターンとトラブルシューティング:

• 30 日間 MFA を記憶
• 高額取引の MFA
• MFA ステータス表示
• エラーハンドリング
• AMR クレーム値
• テスト戦略
• セキュリティに関する考慮事項

---

関連スキル

• auth0-quickstart - Auth0 の基本設定
• auth0-passkeys - WebAuthn/パスキー実装
• auth0-actions - カスタム認証ロジック

---

参考資料

• Auth0 MFA ドキュメント
• ステップアップ認証
• MFA API
• acr_values パラメータ