Je schrijft een .NET Azure Function die Azure AD JWT-accesstokens valideert voor je aangepaste API. De API is single-tenant en gebruikt het v2.0-eindpunt. Welke validaties moet je implementeren om ervoor te zorgen dat tokens alleen worden geaccepteerd als ze zijn uitgegeven voor je API door je tenant en niet zijn verlopen of gemanipuleerd? Selecteer drie antwoorden.

De aud (audience) claim moet overeenkomen met de Application ID URI van je API om te garanderen dat het token specifiek voor jouw API is bedoeld. Dit voorkomt dat tokens die voor andere applicaties zijn uitgegeven, worden geaccepteerd. Het ophalen van OpenID Connect-metadata van het v2.0-eindpunt en het gebruik van de jwksuri is essentieel voor het valideren van de tokenhandtekening. Dit bevestigt dat het token is uitgegeven door een vertrouwde instantie (Azure AD) en niet is gemanipuleerd. Ten slotte moet de levensduur van het token worden afgedwongen door tokens te weigeren waarvan de exp (expiration time) is verstreken, met een kleine klokafwijking om synchronisatieproblemen te ondervangen. De optie om tokens voor elke tenant als geldig te behandelen, is onjuist voor een single-tenant API, omdat dit een beveiligingsrisico vormt door tokens van andere tenants te accepteren.