Está escribiendo una función de Azure en .NET que valida tokens de acceso JWT de Azure AD para su API personalizada. La API es de inquilino único y utiliza el endpoint v2.0. ¿Qué validaciones debe implementar para garantizar que los tokens se acepten solo si son emitidos para su API por su inquilino y no han caducado o sido manipulados? Seleccione tres respuestas.

Para garantizar que los tokens sean válidos y seguros, es crucial validar la audiencia (aud), la firma y la caducidad. La validación de la claim aud contra la URI de ID de aplicación de su API asegura que el token está destinado específicamente para su servicio, evitando el uso de tokens emitidos para otras aplicaciones. La recuperación de metadatos de OpenID Connect, específicamente el jwksuri, permite obtener las claves públicas necesarias para verificar la firma del token. Esto confirma que el token no ha sido manipulado y fue emitido por Azure AD. Finalmente, aplicar la vida útil del token verificando la claim exp (expiración) y permitiendo una pequeña desviación del reloj previene el uso de tokens caducados, manteniendo la seguridad a lo largo del tiempo. La opción incorrecta sobre aceptar tokens de cualquier inquilino es errónea porque la API es de inquilino único, lo que requiere validación estricta del emisor.