Sie schreiben eine .NET Azure Function, die Azure AD JWT-Zugriffstoken für Ihre benutzerdefinierte API validiert. Die API ist Single-Tenant und verwendet den v2.0-Endpunkt. Welche Validierungen sollten Sie implementieren, um sicherzustellen, dass Token nur akzeptiert werden, wenn sie von Ihrem Tenant für Ihre API ausgestellt wurden und nicht abgelaufen oder manipuliert sind? Wählen Sie drei Antworten aus.

Die Validierung des aud-Anspruchs stellt sicher, dass das Token für Ihre spezifische API ausgestellt wurde und nicht für eine andere Anwendung. Dies verhindert die Verwendung von Token, die für andere Dienste gedacht sind. Das Abrufen der OpenID Connect-Metadaten und die Verwendung der jwksuri ist entscheidend für die Überprüfung der Tokensignatur. Dies bestätigt, dass das Token von Azure AD ausgestellt und nicht manipuliert wurde, da die Signatur mit dem öffentlichen Schlüssel des Ausstellers verifiziert wird. Das Erzwingen der Token-Lebensdauer durch Ablehnung abgelaufener Token schützt vor Replay-Angriffen. Eine kleine Zeitverschiebung (Clock Skew) berücksichtigt mögliche Zeitunterschiede zwischen dem Aussteller und dem Validierer, ohne die Sicherheit zu beeinträchtigen. Die Option, Token für beliebige Tenants als gültig zu behandeln, ist falsch, da dies die Sicherheit untergraben würde, indem es Token von nicht autorisierten Tenants zulässt.