ユースケース: セッションメタデータ内の組織情報

セッションメタデータを使用すると、ユーザーコンテキストデータをセッションのライフサイクル全体および logout イベント全体で引き継いで参照できます。下流システムでは、セッションメタデータの情報を監査、分析、取り消しパイプラインの適用などに利用できます。

Auth0 セッションメタデータは安全なデータストアではないため、機密情報の保存には使用しないでください。これには、secrets や、社会保障番号やクレジットカード番号などの高リスクな PII が含まれます。Auth0 のお客様には、メタデータに保存するデータを十分に評価し、identity and access management の目的に必要なものだけを保存することを強くお勧めします。詳しくは、Auth0 General Data Protection Regulation Compliance をご覧ください。

組織の情報をセッションメタデータに追加する

Actions を使用すると、post-login の api.session.setMetadata() メソッドで組織の識別子をセッションに保存し、event.session.metadata オブジェクトから参照できます。 Post-Login Action コード:

/**
 * post-login Action（シンプル版）
 * 後続のActions、Management API、および（有効な場合）バックチャネルログアウトトークンに
 * 組織コンテキストをセッションメタデータへ追加して反映させます。
 */
exports.onExecutePostLogin = async (event, api) => {
  // transactionが組織を対象とする場合のみ処理を続行する
  if (!event.organization) return;

  // 値は短くString型のみにする（セッションメタデータにはStringが必要）
  const orgId = String(event.organization.id || "");
  const orgSlug = String(event.organization.name || "");
  const orgDisplay = String(event.organization.display_name || orgSlug);

  // 最小限の冪等な書き込み（制限を大幅に下回るよう、キー数を少なく抑える）
  api.session.setMetadata("org_id", orgId);
  api.session.setMetadata("org_slug", orgSlug);
  api.session.setMetadata("org_name", orgDisplay);
};

セッションメタデータは後続のActionsで利用でき、Management APIから取得することも、OpenID Connect Back-Channel Logoutトークンに含めることもできます。

後続のActionsでは、event.session.metadata オブジェクトを使用してデータを参照できます。
const orgId = event.session.metadata?.org_id;
Management API を使用している場合は、GET /api/v2/sessions/{id} で /api/v2/sessions/ エンドポイント経由でデータを取得できます。レスポンス例:
{ "session_metadata": { "org_id": "org_abc123", "org_slug": "acme", "org_name": "Acme Corp" } }
/api/v2/sessions/{id} エンドポイントを呼び出すには、update:session スコープを持つ Management API access token が必要です。

OIDC Back-Channel Logout session metadata が設定されたアプリケーションでは、logout_token にセッションメタデータが含まれます。

{
  "events": { "http://schemas.openid.net/event/backchannel-logout": {} },
  "session_metadata": {
    "org_id": "org_abc123",
    "org_slug": "acme",
    "org_name": "Acme Corp"
  }
}

概念

操作方法