La tua azienda SaaS espone molti servizi web e richiede: accesso tramite API Management, autenticazione OpenID Connect e nessuna chiamata anonima. Un audit di sicurezza ha rilevato che alcuni servizi consentono chiamate non autenticate. Quale policy di API Management dovresti aggiungere per imporre i token OpenID Connect e bloccare le richieste anonime?

La policy validate-jwt è la scelta corretta perché è specificamente progettata per convalidare i JSON Web Token (JWT) inclusi nelle richieste. Richiede che le richieste contengano un token JWT valido, emesso da un'autorità OpenID Connect configurata, e blocca automaticamente le richieste che non presentano un token valido o che sono anonime. Le altre opzioni non sono adatte: jsonp è una policy per abilitare il JSON with Padding, non per l'autenticazione. authentication-certificate è usata per l'autenticazione client tramite certificati, non tramite OpenID Connect/JWT. check-header può verificare la presenza di un header specifico, ma non esegue la convalida crittografica e della firma di un JWT, né interagisce con un provider OpenID Connect.