MFAにSMSと音声通知を設定する

MFAにSMSと音声通知を構成する方法について説明します。

総合電話エクスペリエンスは、すべての電話プロバイダーの構成をテナントで一元管理します。このため、異なる電話認証要素のそれぞれに同じ電話プロバイダーを何度も構成する必要はありません。詳細については、「多要素認証に総合電話エクスペリエンスを構成する」を参照してください。

SMSまたは音声を認証要素に使用している場合、エンドユーザーがアプリケーションで認証を行おうとすると、SMSまたは音声を介してコードが送られてきます。エンドユーザーはこのコードを入力し、トランザクションを完了する必要があります。これは、エンドユーザーがログイン資格情報を知っており、かつMFAに使用するために登録したデバイスを所有しているということになります。

DashboardまたはManagement APIを使って、SMSまたは音声を通じてメッセージを送信するか、エンドユーザーにコードの配信方法を選んでもらうように、SMSと音声要素を構成することができます。アクションを使って配信プロバイダーを構成したり、Twilioアカウントを構成したり、または顧客にSMSのみを送信したい場合は、Auth0のデフォルトのメッセージ配信サービスを構成したりすることができます。MFAに音声通知を有効にするには、ユニバーサルログインエクスペリエンスを使用する必要があります。

利用可能性はAuth0プランによって異なる

この機能が利用できるかどうかは、使用しているログイン実装とAuth0プラン（または契約）によります。詳細については、「価格設定」をお読みください。

​

仕組み

SMSと音声が有効な場合、登録オプションとしてコードがSMSまたは音声を通じてユーザーに送られてきます。

SMSのみを有効にする場合、フローはもっと単純です。

ユーザーが登録後に認証を行う場合は、登録した電話に音声またはSMSメッセージが送られてきます。

​

Dashboardの使用

1. ［Dashboard］>［Security（セキュリティ）］>［Multi-factor Auth（多要素認証）］の順に進みます。

2. ［Phone Message（電話メッセージ）］ をクリックし、上部のトグルスイッチを有効にします。

3. 希望するメッセージ配信プロバイダーを選択します。

4. ユーザーがSMSと音声で認証を行えるようにするには、SMSと音声要素を有効にし、希望する配信方法を選択する必要があります。

   1. Auth0 ：このプロバイダーを使って音声メッセージを送信することはできません。Auth0の内部で構成されたSMS配信プロバイダーを使ってSMSメッセージを送信します。評価・テスト目的でのみ使用でき、テナントのライフタイム全体にわたって送信できるテナント当たりのメッセージ数は最大100件です。100件の上限に達すると、新しいコードは届きません。
   2. Twilio ：SMSではTwilio Programmable SMS API、音声ではTwilio Programmable Voice APIをそれぞれ使ってメッセージを送信します。Twilio Life Credentials（Test Credentialsでなく）を使用します。これは、実稼働環境でメッセージを送信することのみを意図しています。
   3. カスタム ：電話メッセージの送信フローでアクションを呼び出して、メッセージを送信します。

   ユーザーがSMSテキストメッセージ、音声通話、またはその両方を受け取る、という選択肢の中から1つを選ぶこともできます。

​

Twilioの構成

Twilioでは一括インポートの移行と確認に最大8週間かかるかもしれないことに注意してください。詳細については、Twilioヘルプセンターをご覧ください。

TwilioからSMSを配信する場合は、以下の手順に従ってSMS要素を構成します。

1. Twilioでアカウントを開きます。Twilio Account SIDとTwilio Auth Tokenが必要です。これらは、SMSをユーザーに送信するためにAuth0が使用するTwilio API資格情報です。

2. SMSまたは音声の地理的な地域のアクセス許可を有効にする必要もあります。音声を使用する場合、音声通話ができるように、アカウントでTwilioの電話番号を有効にする必要があります。この番号は、Twilioで検証された外部の電話番号、またはアカウント内から購入してセットアップしたTwilioの電話番号のどちらでもかまいません。

3. 接続を構成します。［Dashboard］>［Security - Multi-factor Auth（セキュリティ - 多要素認証）］の順に進み、［Phone Message（電話メッセージ）］ を選択します。

4. ［Choose your delivery provider（配信プロバイダーの選択）］ で ［Twilio］ を選択し、配信方法を選びます。

5. 該当するフィールドにTwilio Account SIDとTwilio Auth Token を入力します。

6. ［SMS Source（SMSソース）］ を選択します。

   1. ［Use From（番号を使用）］ を選択する場合、発信するSMSメッセージの「From」番号を入力する必要があります。これは、Twilioで構成できる場合もあります。
   2. ［Use Messaging Services（メッセージングサービスを使用）］ を選択する場合、メッセージングサービスSIDを入力する必要があります。
   3. 音声を使用している場合は、SMSのメッセージサービス を使用している場合でも、「From」番号を必ず構成する必要があります。SMSと音声メッセージの両方を送信するように電話番号が構成されていることを確認してください。

7. ［Save（保存）］ をクリックします。

​

SMSまたは音声メッセージテンプレートをカスタマイズする

SMSと音声メッセージテンプレートをカスタマイズすることができます。詳細については、「SMSと音声メッセージをカスタマイズする」をお読みください。

​

Management APIの使用

Management APIを使用して、どのメッセージ配信方法を有効にするかを構成できます。その際に使用されるのが、/api/v2/guardian/factors/phone/message-typesエンドポイントです。message_typesパラメーターは、["sms"]、["voice"]、または["sms", "voice"]を使用できる配列です。APIを呼び出すには、update:guardian_factorsスコープをベアラーに持つManagement APIアクセストークンが必要です。

cURL

curl --request PUT \
--url 'https://{yourDomain}/api/v2/guardian/factors/phone/message-types' \
--header 'authorization: Bearer MGMT_API_ACCESS_TOKEN' \
--header 'content-type: application/json' \
--data '{ "message_types": ["sms", "voice"] }'
``` lines
```csharp C# lines
var client = new RestClient("https://{yourDomain}/api/v2/guardian/factors/phone/message-types");
var request = new RestRequest(Method.PUT);
request.AddHeader("content-type", "application/json");
request.AddHeader("authorization", "Bearer MGMT_API_ACCESS_TOKEN");
request.AddParameter("application/json", "{ \"message_types\": [\"sms\", \"voice\"] }", ParameterType.RequestBody);
IRestResponse response = client.Execute(request);

​

統合されたSMSメッセージングプロバイダー

Auth0はデフォルトで、Twilioを介したメッセージの送信に対応していますが、異なるSMSプロバイダーで特定のロジックを追加してからメッセージを送信するか、ユーザーまたはアプリケーションに応じて異なるメッセージを送信することができます。このためには、電話メッセージの送信フローで統合されたアクションのいずれかを使用するように、SMS MFAを構成します。

統合されたSMSメッセージングプロバイダーには以下のものがあります。

• Amazon SNS
• ClickSend
• Esendex
• Infobip
• Mitto
• Telesign
• Vonage

​

カスタム電話プロバイダー

アクションを使ってカスタム電話プロバイダーを構成することもできます。詳細については、「カスタム電話プロバイダーを構成する」をお読みください。

​

セキュリティに関する考慮事項

電話メッセージングプロバイダーを使用する場合、サインアップフローを悪用する攻撃者によって金銭的損失を被る可能性があることに注意してください。e.

Auth0では、各ユーザーが1時間あたりに送信できるSMSまたは音声メッセージは最大10件で、メールまたはAuthenticatorsを介したOTPフローの要求数は5分ごとに最大5件です。（バーストレートは10ですが、新規要求で送信されるのは1時間あたりに1音声メッセージのみです。）アカウントをさらに保護するには、以下のことを考慮してください。

• 総当たり攻撃防御を有効にします。1分あたりにサインアップ要求数が50件を超えようとすると、IPはブロックされます。
• ログストリーミングを有効にし、gd_send_voiceまたはgd_send_voice_failureログイベント数が急増したときは、お気に入りの監視ツールを使ってアラートを作成します。

電話メッセージングプロバイダーには、その他の保護対策も装備されています。Twilioを使用している場合は、「Twilioのアンチフラウド開発者ガイド」をお読みください。次のオプションを検討してください。

• SMSと音声のメッセージを送信する国を制限します。トールフラウドのリスクが高い国、または通常取引を行わない通話料金が高額な国がある場合は、このように制限しておくと特に役立ちます。
• Twilioが提供する利用トリガーを有効にし、アカウントをフラウドとコーディングエラーから守ります。

​

もっと詳しく

• SMSおよび音声Authenticatorの登録とチャレンジ
• 攻撃防御
• ログストリーミング