カスタムAPI用のAzure AD JWTアクセストークンを検証する.NET Azure Functionを作成しています。APIはシングルテナントで、v2.0エンドポイントを使用します。トークンがAPIに対してテナントによって発行され、期限切れや改ざんされていない場合にのみ受け入れられるようにするには、どの検証を実装する必要がありますか？3つの回答を選択してください。

APIがシングルテナントであるため、audクレームがAPIのアプリケーションID URIと一致することを検証し、他のオーディエンスを持つトークンを拒否することで、トークンが意図した受信者向けであることを確認します。OpenID Connectメタデータ（特にjwksuri）を使用してトークン署名を検証することは、トークンが改ざんされていないことを保証するために不可欠です。expクレームを検証し、クロックスキューを考慮に入れることで、期限切れのトークンが受け入れられないようにします。署名が検証される場合でも、任意のテナントに対して発行されたトークンを有効として扱うことは、シングルテナントの要件に反し、セキュリティリスクをもたらします。