Auth0経由でAzure ADのスコープを動的に変更できない制約について / PaPut

mizuko

5か月前

Auth0経由でAzure ADのスコープを動的に変更できない制約について

Auth0

Azure AD

Auth0とAzure AD（Microsoft Entra ID）を連携させる際、フロントエンドから動的にMicrosoft Graph APIのスコープ（Mail.Read、Mail.ReadWriteなど）を追加することができない。

Auth0のconnection設定におけるupstream_paramsは、Identity Provider（IdP）に送るパラメーターを定義する。これには静的パラメーターと動的パラメーターの2種類がある。

静的パラメーター：

"upstream_params": {
  "scope": {
    "value": "openid profile email Mail.Read"
  }
}

動的パラメーター：

"upstream_params": {
  "screen_name": {
    "alias": "login_hint"
  }
}

動的パラメーターはalias属性を使用して、Auth0の/authorizeエンドポイントに送られたパラメーターをIdPのパラメーターにマッピングする。しかし、使用可能なaliasは以下に限定される：

scopeはこのリストに含まれていないため、実行時の動的変更は不可能。

// これはAuth0のトークンに対するscope（Azure ADには送られない）
loginWithRedirect({
  authorizationParams: {
    scope: "Mail.Read Mail.ReadWrite"
  }
});

実際にAzure ADに送られるscopeは、Terraformやconnection設定で定義されたupstream_paramsの値となる。