SaaS企業は多数のWebサービスを公開しており、API Management経由のアクセス、OpenID Connect認証、および匿名呼び出しの禁止を要求しています。セキュリティ監査により、一部のサービスが未認証の呼び出しを許可していることが判明しました。OpenID Connectトークンを強制し、匿名リクエストをブロックするために、どのAPI Managementポリシーを追加すべきですか？

validate-jwtポリシーは、OpenID Connectトークン（JWT）の署名、有効期限、発行者、対象者などを検証し、無効なトークンや匿名アクセスをブロックします。これにより、すべてのAPI呼び出しが認証され、セキュリティ要件が満たされます。jsonpはJSONPコールバックを有効にするためのもので認証とは無関係です。authentication-certificateはクライアント証明書による認証に使用され、OpenID Connectトークンとは異なります。check-headerは特定のHTTPヘッダーの存在を検証しますが、JWTの検証のような包括的なセキュリティチェックは行いません。