التحقق من صحة الرمز المميز ل Microsoft Entra

ينطبق على: جميع مستويات إدارة واجهة برمجة التطبيقات

validate-azure-ad-token يفرض النهج وجود وصلاحية رمز ويب JSON المميز (JWT) الذي تم توفيره بواسطة خدمة Microsoft Entra (المعروف سابقا باسم Azure Active Directory) لمجموعة محددة من الأساسيات في الدليل. يمكن استخراج JWT من رأس HTTP أو معلمة استعلام أو قيمة محددة يتم توفيرها باستخدام تعبير نهج أو متغير سياق.

نهج السياسة

<validate-azure-ad-token
    tenant-id="tenant ID or URL (for example, "https://contoso.onmicrosoft.com") of the Microsoft Entra ID tenant"
    header-name="name of HTTP header containing the token (alternatively, use query-parameter-name or token-value attribute to specify token)"
    query-parameter-name="name of query parameter used to pass the token (alternative, use header-name or token-value attribute to specify token)"
    token-value="expression returning the token as a string (alternatively, use header-name or query-parameter attribute to specify token)"
    failed-validation-httpcode="HTTP status code to return on failure"
    failed-validation-error-message="error message to return on failure"
    output-token-variable-name="name of a variable to receive a JWT object representing successfully validated token">
    <backend-application-ids>
        <application-id>Backend application ID from Microsoft Entra</application-id>
        <!-- If there are multiple backend application IDs, then add additional application-id elements -->
    </backend-application-ids>
    <client-application-ids>
        <application-id>Client application ID from Microsoft Entra</application-id>
        <!-- If there are multiple client application IDs, then add additional application-id elements -->
    </client-application-ids>
    <audiences>
        <audience>audience string</audience>
        <!-- if there are multiple possible audiences, then add additional audience elements -->
    </audiences>
    <required-claims>
        <claim name="name of the claim as it appears in the token" match="all | any" separator="separator character in a multi-valued claim">
            <value>claim value as it is expected to appear in the token</value>
            <!-- if there is more than one allowed value, then add additional value elements -->
        </claim>
    </required-claims>
    <decryption-keys>
        <key certificate-id="mycertificate"/>
        <!-- if there are multiple keys, then add additional key elements -->
    </decryption-keys>
</validate-azure-ad-token>

سمات

عناصر

سمات المطالبة

السمات الرئيسية

الاستخدام

• أقسام النهج:الواردة.
• نطاقات النهج: العمومية، ومساحة العمل، والمنتج، وواجهة برمجة التطبيقات، والتشغيل
• البوابات: الكلاسيكية، الإصدار 2، الاستهلاك، المستضافة ذاتيا، مساحة العمل

ملاحظات الاستخدام

• يمكنك استخدام نُهج تقييد الوصول في نطاقات مختلفة لأغراض مختلفة. على سبيل المثال، يمكنك تأمين واجهة برمجة التطبيقات بأكملها باستخدام مصادقة Microsoft Entra عن طريق تطبيق validate-azure-ad-token النهج على مستوى واجهة برمجة التطبيقات، أو يمكنك تطبيقه على مستوى عملية واجهة برمجة التطبيقات واستخدامه claims للحصول على تحكم أكثر دقة.
• معرف Microsoft Entra للعملاء (معاينة) غير مدعوم.

الأمثلة

التحقق من صحة الرمز المميز البسيط.

النهج التالي هو الحد الأدنى من شكل النهج validate-azure-ad-token . يتوقع أن يتم توفير JWT في العنوان الافتراضي Authorization باستخدام Bearer النظام. في هذا المثال، يتم توفير معرف مستأجر Microsoft Entra ومعرف تطبيق العميل باستخدام القيم المسماة.

<validate-azure-ad-token tenant-id="{{aad-tenant-id}}">
    <client-application-ids>
        <application-id>{{aad-client-application-id}}</application-id>
    </client-application-ids>
</validate-azure-ad-token>

التحقق من صحة الرمز المميز باستخدام مفتاح فك التشفير

يوضح هذا المثال كيفية استخدام النهج validate-azure-ad-token للتحقق من صحة رمز مميز تم فك تشفيره باستخدام مفتاح فك التشفير. يتم توفير معرف مستأجر Microsoft Entra ومعرف تطبيق العميل باستخدام القيم المسماة. يتم تحديد المفتاح باستخدام معرف شهادة تم تحميلها (بتنسيق PFX) تحتوي على المفتاح العام.

<validate-azure-ad-token tenant-id="{{aad-tenant-id}}">
    <client-application-ids>
        <application-id>{{aad-client-application-id}}</application-id>
    </client-application-ids>
    <decryption-keys>
        <key certificate-id="mycertificate"/>
    </decryption-keys>
</validate-azure-ad-token>

التحقق من صحة الجمهور والمطالبة

يتحقق النهج التالي من أن الجمهور هو اسم المضيف لمثيل APIM وأن المطالبة ctry هي US. معرف مستأجر Microsoft هو المستأجر المعروف organizations ، والذي يسمح بالرموز المميزة من الحسابات في أي دليل تنظيمي. يتم توفير اسم المضيف باستخدام تعبير نهج، ويتم توفير معرف تطبيق العميل باستخدام قيمة مسماة. يتم توفير JWT الذي تم فك ترميزه في jwt المتغير بعد التحقق من الصحة.

لمزيد من التفاصيل حول المطالبات الاختيارية، اقرأ توفير مطالبات اختيارية لتطبيقك.

<validate-azure-ad-token tenant-id="organizations" output-token-variable-name="jwt">
    <client-application-ids>
        <application-id>{{aad-client-application-id}}</application-id>
    </client-application-ids>
    <audiences>
        <audience>@(context.Request.OriginalUrl.Host)</audience>
    </audiences>
    <required-claims>
        <claim name="ctry" match="any">
            <value>US</value>
        </claim>
    </required-claims>
</validate-azure-ad-token>

النهج ذات الصلة

• المصادقة والتخويل

المحتوى ذو الصلة

لمزيد من المعلومات حول العمل مع النُهج، راجع:

• البرنامج التعليمي: تحويل واجهة برمجة التطبيقات الخاصة بك وحمايتها
• Policy reference لقائمة كاملة من بيانات النُهج وإعداداتها
• تعبيرات النهج
• تعيين النهج أو تحريرها
• إعادة استخدام التكوينات الخاصة بالنهج
• مستودع القصاصات البرمجية للنهج
• مجموعة أدوات نهج إدارة واجهة برمجة تطبيقات Azure
• نهج المؤلف باستخدام Microsoft Copilot في Azure