Auth0 - ルールとグループ&&ユーザー管理

Question

私はAuth0でアカウントを作成しました。私は、バックエンドAPIにAngular 2の簡単なログインをしようとしています。

1.私がしようとしているのは、ユーザーが正しいアクセス許可を持っているかどうかを確認するために、APIの役割にアクセスできるようにすることです。

Auth0認可の拡張機能を有効にして、1つのグループと1つのロールを作成しました。これを私が作成したテストユーザーに割り当てました。次に設定に行き、トークンのコンテンツのルールを公開しました持続性。

nodejsアプリケーションでJWTの権限/グループを表示するにはどうすればよいですか？私はexpress-jwtと、これを使用しています：私を与えている

const authenticate = jwt({ 
    secret: config.get('AUTH0_CLIENT_SECRET'), 
    audience: config.get('AUTH0_CLIENT_ID'), 
    credentialsRequired: false, 
}); 

はISS、サブ、AUDなどについて詳しく説明します。しかし、ユーザーのメタデータに関する詳細は、どのように私はこれを取得することができますか？また、私は明らかにAuth0を使用していないので、自分のデータベースにユーザーの詳細を格納することもベストプラクティスであるため、自分のIDを使用してユーザーのアクションに対して格納することも、Auth0でIDを使用することもできますデータベース内のユーザーアクションに対して保存することができます。私はあなたがスコープを渡すことができますロックするためのオプションパラメータがあります見ることができます

EDIT 1

OK、ログイン時にこれらを要求する悪い習慣ですか？今のところグループ/ロールはほんの一握りに過ぎません。または、APIがアクセス権などを表示するためにapp_metadataを取得するために提供されたトークンを使用してユーザーを検索できる方が良いですか。

---

2.どのようにユーザーを管理し、私は私たち自身の管理パネルに表示し、彼らが持っている権限を管理することができますので、それらを表示することができています。グループと役割の情報の場合については

Answer 1

（groupsとroles請求など）トークン自体の中に利用可能であり、あなたがexpress-jwtを使用していることを考えると、あなたがアクセスすることにより、サーバー側でこの情報にアクセスすることができます

req.user.groups 
req.user.roles 

express-jwtは、トークンに含まれるクレームをreq.userオブジェクトで利用できるようにします。

ユーザーを識別するために使用するIDに関して、ユーザートークンのsubクレームに含まれる値を使用することができます。この値はユニークで安定していることが保証されているため、まったく同じ方法で認証を使用する定期的なユーザーは、subのクレーム内で常に同じ値を持ちます。

グループとロールの情報を含める方法の1つは、scopeパラメータを使用してリクエストすることです。この情報をトークンに含めるよう要求するのは悪い習慣ではありませんが、SPAで使用される暗黙の許可によって配信されるトークンはコールバックURLの一部として含まれていることを考慮する必要があります。サイズはURLに課せられた制限によって制約されます。あなたの2番目の質問に関しては

---

、あなたはAuth0認可の拡張APIともAuth0管理APIの両方を統合することにより、独自の管理のバックエンドを実装できます。詳細は以下のリンクを参照してください。最初の部分に関して

• https://auth0.com/docs/extensions/authorization-extension#enabling-api-access
• https://auth0.com/docs/api/management/v2