Cas d’utilisation : renseignements sur l’organisation dans les métadonnées de session

Les métadonnées de session rendent les données du contexte utilisateur portables et visibles pendant tout le cycle de vie de la session ainsi que dans les événements de déconnexion. Les systèmes en aval peuvent utiliser les renseignements contenus dans les métadonnées de session pour effectuer des audits, réaliser des analyses et appliquer des pipelines de révocation, entre autres.

Les métadonnées de session Auth0 ne constituent pas un stockage de données sécurisé et ne doivent pas servir à stocker des renseignements sensibles. Cela comprend les secrets et les PII à risque élevé, comme les numéros d’assurance sociale ou de carte de crédit. Auth0 recommande fortement à ses clients d’évaluer les données stockées dans les métadonnées et de n’y conserver que ce qui est nécessaire aux fins de la gestion des identités et des accès. Pour en savoir plus, consultez Conformité d’Auth0 au Règlement général sur la protection des données.

Ajouter des renseignements sur l’organisation aux métadonnées de session

Vous pouvez utiliser Actions pour stocker les identifiants de l’organisation dans une session à l’aide de la méthode api.session.setMetadata() de post-login, puis les interroger avec l’objet event.session.metadata. Code de l’Action Post-Login :

/**
 * Action post-connexion (simple)
 * Ajoute le contexte d'organisation aux métadonnées de session afin qu'il apparaisse dans les Actions suivantes,
 * la Management API, et (si activé) le jeton de déconnexion en canal arrière.
 */
exports.onExecutePostLogin = async (event, api) => {
  // Ne continuer que si la transaction cible une Organisation
  if (!event.organization) return;

  // Garder les valeurs courtes et en chaînes seulement (les métadonnées de session n'acceptent que des chaînes)
  const orgId = String(event.organization.id || "");
  const orgSlug = String(event.organization.name || "");
  const orgDisplay = String(event.organization.display_name || orgSlug);

  // Écritures minimales et idempotentes (quelques clés seulement pour rester bien en deçà des limites)
  api.session.setMetadata("org_id", orgId);
  api.session.setMetadata("org_slug", orgSlug);
  api.session.setMetadata("org_name", orgDisplay);
};

Les métadonnées de session sont disponibles dans les Actions ultérieures, peuvent être récupérées au moyen de la Management API et peuvent être incluses dans le jeton OpenID Connect Back-Channel Logout.

Dans les Actions ultérieures, vous pouvez interroger les données au moyen de l’objet event.session.metadata :
const orgId = event.session.metadata?.org_id;
Si vous utilisez la Management API, vous pouvez interroger les données via le point de terminaison /api/v2/sessions/ avec GET /api/v2/sessions/{id}. Exemple de réponse :
{ "session_metadata": { "org_id": "org_abc123", "org_slug": "acme", "org_name": "Acme Corp" } }
Les requêtes vers le point de terminaison /api/v2/sessions/{id} nécessitent un jeton d’accès pour la Management API avec la portée update:session.

Si vous avez une application configurée avec les métadonnées de session OIDC Back-Channel Logout, le logout_token inclut les métadonnées de session :

{
  "events": { "http://schemas.openid.net/event/backchannel-logout": {} },
  "session_metadata": {
    "org_id": "org_abc123",
    "org_slug": "acme",
    "org_name": "Acme Corp"
  }
}

Concepts

Procédures