Auth0でIP制限を実現しようとしたが断念した話

特定グローバルIP(以下、GIP)からのリクエストのみ許可する機能(以下、IP制限)を実装する必要があった。
認証プラットフォームとしてAuth0を使用しているので、以下のように実装してみた。

f:id:gitkado:20211114133251p:plain

どうやってAuth0のログイン後に処理を追加するのか

少し調べてみるとAuth0 Rules機能を使ってる記事が結構ヒットしたので、とりあえず公式ドキュメントを確認してみた。

公式ドキュメントの冒頭に、If you want to extend Auth0, we highly recommend you use Actions, which are a cornerstone of our overall extensibility product. とあったので、Auth0 Actionsを使うことにした。

auth0.com

Auth0 Actions

簡単に説明すると、Auth0の特定タイミングで実行される関数をNode.jsで実装できる。
AWS Lambdaのようなイメージだと思ってもらえれば良いかなと。
2021/11/14時点だと、以下のタイミングで実行させることができる。

f:id:gitkado:20211114134434p:plain

触ってみる

Step1: Auth0に関数を追加する

右上の「Build Custom」から作成していきます。 f:id:gitkado:20211114135357p:plain

関数名とか入力するモーダルが表示されるので適当に入力してCreateする。 f:id:gitkado:20211114135646p:plain

雛形が作成されるので、ここに関数を実装して右上の「Deploy」を叩けば作成できる。
使用できるオブジェクトはeventとapiで2種類ある。 f:id:gitkado:20211114135807p:plain

auth0.com

exports.onExecutePostLogin = async (event, api) => {
  // 解説1
  if (event.client.client_id === "hogefugabuzz") {
    // 解説2
    if (event.request.ip !== "xxx.xxx.xxx.xxx") {
      api.access.deny(`Access to ${event.client.name} from ${event.request.ip} is not allowed.`)
    }
    // 解説3
    api.idToken.setCustomClaim('allowed-ip', event.request.ip)
  }
};

解説1 event.client.client_id === "hogefugabuzz"
- Auth0は複数Applicationから共通で使用される認証プラットフォーム
- 特定Applicationのみ関数を実行する場合は、関数側で制御するする必要がある
解説2 event.request.ip === "xxx.xxx.xxx.xxx"
- リクエスト元のGIPを取得して許可されたIPであることを確認する
解説3
- 発行されるJWTに許可されたGIPを追加する