Je SaaS-bedrijf exposeert veel webservices en vereist: toegang via API Management, OpenID Connect-authenticatie en geen anonieme aanroepen. Een beveiligingsaudit heeft uitgewezen dat sommige services niet-geauthenticeerde aanroepen toestaan. Welk API Management-beleid moet je toevoegen om OpenID Connect-tokens af te dwingen en anonieme verzoeken te blokkeren?

Het validate-jwt-beleid is de juiste keuze omdat het specifiek is ontworpen om JSON Web Tokens (JWT's) te valideren, wat essentieel is voor het afdwingen van OpenID Connect-authenticatie. Dit beleid controleert de handtekening, de vervaldatum en de claims van het token, en kan worden geconfigureerd om specifieke issuers en audiences te vereisen. Als een geldig JWT ontbreekt of ongeldig is, blokkeert het beleid de aanroep, waardoor anonieme verzoeken effectief worden voorkomen. Het jsonp-beleid is bedoeld voor het inschakelen van JSON met Padding voor cross-domain aanroepen en heeft geen betrekking op authenticatie. Het authentication-certificate-beleid wordt gebruikt voor client-certificaatauthenticatie, niet voor OpenID Connect-tokens. Het check-header-beleid kan weliswaar de aanwezigheid van een header controleren, maar het valideert de inhoud van een JWT niet op de manier die nodig is voor robuuste authenticatie en autorisatie.