Você está escrevendo uma Azure Function .NET que valida tokens de acesso JWT do Azure AD para sua API personalizada. A API é de locatário único e usa o endpoint v2.0. Quais validações você deve implementar para garantir que os tokens sejam aceitos somente se emitidos para sua API pelo seu locatário e não estiverem expirados ou adulterados? Selecione três respostas.

Para garantir que os tokens sejam válidos para sua API e locatário, é crucial validar a declaração aud (audiência) para que corresponda ao URI da ID do Aplicativo da sua API. Isso impede que tokens destinados a outros recursos sejam aceitos. A recuperação dos metadados do OpenID Connect de https://login.microsoftonline.com/<tenant-id/v2.0/.well-known/openid-configuration e o uso do jwksuri para validar a assinatura do token pelo ID da chave (kid) é essencial para verificar a integridade e autenticidade do token, garantindo que não foi adulterado. Por fim, aplicar o tempo de vida do token, rejeitando aqueles que excederam a declaração exp (expiração) e permitindo um pequeno desvio de relógio, protege contra o uso de tokens expirados. A opção de considerar tokens válidos de qualquer locatário é incorreta, pois a validação do emissor é fundamental para APIs de locatário único.