カスタムログインドメインの設定
login.acme.com のようなカスタムドメインは、環境のエンドユーザー向けのすべての画面を提供します。ホスト型ログイン、アカウントポータル、Admin Portal、OIDC と OAuth のエンドポイント、SSO、SAML と SCIM、メール内のリンクが含まれます。お客様のアプリケーション自身のドメインは KeenAuth ではホストされません。development 環境にはカスタムドメインがありません。
始める前に
- CNAME はドメインのルートには設定できないため、名前は少なくとも 3 つのラベル（サブドメイン）が必要です。
- 名前は IDNA2008 の A ラベルに変換され、小文字になります。
keenauth.app、keenauth.com、またはそのサブドメインにはできず、パブリックサフィックスにもできません。 - 名前はプラットフォーム全体で一意です。解放された名前は、別のアカウントが追加できるまで 30 日間隔離されます。
- Free プラン：ドメインは 1 つで、アカウントに確認済みの支払いカードが必要です。環境ごとに複数のドメインを使うことは Enterprise の機能です。
- 各アカウントは 1 日（UTC）に最大 10 個のドメインを追加できます。拒否された試行も数えられます。
手順 1：ドメインを追加する
カスタムドメインを追加を呼び出します。ドメインは pending_dns で始まり、レスポンスには公開すべき DNS レコードが一覧されます。
手順 2：DNS レコードを 2 つ公開する
| 種類 | 名前 | 値 |
|---|---|---|
| TXT | _akp-verify.<hostname> |
idp-verify=<26 文字の base32 トークン> |
| CNAME | <hostname> |
<environment-slug>.<region>.edge.keenauth.app |
ドメインが有効になった後も、TXT レコードは DNS に恒久的に残してください。これは所有権の証明です。ドメインの持ち主が変わっても、以前の所有者はこのページを配信させ続けることができなくなります。
両方のレコードが確認できる必要があります。チェックは 72 時間は 5 分ごと、その後 30 日間は 1 時間ごとに実行されます。停止したチェックを再開するには、カスタムドメインを検証を呼び出します。
手順 3：CAA レコードを確認する
ドメインまたはその親ドメインに CAA レコードがある場合、KeenAuth が使用する 2 つの ACME 認証局の両方を許可している必要があります。許可されていないと、ドメインは失敗理由 caa_blocked とともに pending_dns に戻り、ダッシュボードに追加すべき正確な CAA 行が表示されます。CAA レコードが存在しない場合は、何も必要ありません。
証明書とライフサイクル
KeenAuth が TLS 証明書を取得し、更新します。証明書は残りの有効期間が 30 日を切ると更新されます。更新が 7 日間失敗すると、custom_domain.certificate_renewal_failed イベントとメールが届きます。イベントの配信はまだ提供されておらず、フェーズ 6A で Webhook とともに提供されます。
| 状態 | 意味 | 次の状態 |
|---|---|---|
pending_dns |
追加済み。TXT と CNAME のレコードを待機中 | 両方が確認されると：issuing |
issuing |
証明書を発行中 | 発行されると：active。CAA でブロックされると：caa_blocked とともに pending_dns。72 時間以内に発行されないと：certificate_failed とともに pending_dns |
active |
稼働中 | 日次チェックが失敗すると：degraded |
degraded |
TXT または CNAME のレコードが 1 日以上ない。ドメインは引き続き配信される | 修正されると：active。7 日間修正されないと：disabled |
disabled |
停止中。証明書は削除され、そのホストのセッションは無効になる | :verify で再開すると：pending_dns |
released |
ドメインまたは環境が削除された | 30 日の隔離後に名前を再び追加できる |
有効なドメインは 24 時間ごとに 1 回チェックされます。変更を通知されるには、custom_domain.verified、custom_domain.activated、custom_domain.degraded、custom_domain.disabled のイベントを購読してください。これらのイベントはまだ提供されておらず、配信はフェーズ 6A で Webhook とイベント API とともに提供されます。
プライマリドメインと削除
環境のドメインのうち 1 つがプライマリで、メールのリンクはこれを使用します。変更するには、カスタムドメインをプライマリに設定を使用します。環境の発行者がプライマリドメインに従っている場合、プライマリドメインを変更すると発行者も変わります。これは少なくとも 7 日前にスケジュールされる計画的な操作です。
プライマリドメイン、または発行者となっているドメインは削除できません（409 custom_domain_in_use）。先に別のプライマリドメインを選択してください。passkey の rpId として使われているドメインも、削除または無効化できません（409 domain_in_use_by_rp_id）。
1 つの環境に複数のドメイン
Enterprise では、1 つの環境に複数の確認済みドメインを持てます。各ドメインには独自のセッション Cookie があるため、ドメイン間で自動的な SSO は行われません。ドメインをまたぐ passkey は rpId の選択と関連オリジンのリストに依存します。このリストには登録ドメインのラベルが最大 5 つまでで、同じ環境の active なドメインのみを含められます。各アプリケーションは、すべてのドメインでそれぞれ独自のブランディングを持てます。ログインページのブランディングを参照してください。