Azonosító jogkivonat jogcímeinek referenciája

Az azonosító jogkivonatok JSON webes jogkivonatok (JWT). Az 1.0-s és a 2.0-s verziójú azonosító jogkivonatok különbségeket tartalmaznak az általuk hordozott információk között. A verzió azon a végponton alapul, ahonnan a kérelmet kérték. Bár a meglévő alkalmazások valószínűleg az Azure AD 1.0-s végpontot használják, az új alkalmazásoknak a 2.0-s verziójú végpontot kell használniuk.

• 1\.0-s verzió: https://login.microsoftonline.com/common/oauth2/authorize
• 2.0-s verzió: https://login.microsoftonline.com/common/oauth2/v2.0/authorize

Az alábbi szakaszokban felsorolt összes JWT-jogcím az 1.0-s és a 2.0-s verziójú jogkivonatokban is megjelenik, hacsak másként nem rendelkezik. Az azonosító jogkivonatok fejlécből, hasznos adatokból és aláírásból állnak. A fejléc és az aláírás a jogkivonat hitelességének ellenőrzésére szolgál, míg a hasznos adatok tartalmazzák az ügyfél által kért felhasználó adatait.

Fejléc jogcímek

Az alábbi táblázat az azonosító jogkivonatokban található fejlécjogcímeket mutatja be.

Hasznos adatok jogcíme

Az alábbi táblázat alapértelmezés szerint a legtöbb azonosító jogkivonatban szereplő jogcímeket mutatja be (kivéve a feljegyzett jogcímeket). Az alkalmazás azonban opcionális jogcímekkel is kérhet további jogcímeket az azonosító jogkivonatában. A választható jogcímek a groups jogcímtől a felhasználó nevével kapcsolatos információkig terjedhetnek.

Jogcímek használata a felhasználó megbízható azonosításához

A felhasználók azonosításakor fontos, hogy olyan információkat használjon, amelyek folyamatosan állandóak és egyediek maradnak. Az örökölt alkalmazások néha olyan mezőket használnak, mint az e-mail-cím, a telefonszám vagy az UPN. Ezek a mezők idővel változhatnak, és idővel újra felhasználhatók. Ha például egy alkalmazott megváltoztatja a nevét, vagy egy alkalmazott kap egy e-mail-címet, amely megegyezik egy korábbi, már nem létező alkalmazott nevével. Az alkalmazásnak nem szabad emberi olvasható adatokat használnia egy felhasználó azonosításához – az emberi olvashatóság általában azt jelenti, hogy valaki elolvashatja és módosítani szeretné azt. Ehelyett használja az OIDC szabvány által biztosított jogcímeket, vagy a Microsoft által biztosított kiterjesztési jogcímeket – a jogcímeket és sub a oid jogcímeket.

Az adatok felhasználónkénti helyes tárolásához használja vagy sub önállóan oid (amelyek grafikus felhasználói felületként egyediek), tid és szükség esetén útválasztásra vagy horizontális skálázásra használják. Ha adatokat kell megosztania a szolgáltatások között, és oid a legjobb, tid ha minden alkalmazás ugyanazt oid és tid jogcímeket kap egy bérlőben eljáró felhasználóhoz. Az sub állítás egy egyedi párszintű érték. Az érték a jogkivonat címzettjének, bérlőjének és felhasználójának kombinációján alapul. A felhasználó azonosító jogkivonatait kérő két alkalmazás eltérő sub jogcímeket kap, de ugyanezeket oid a jogcímeket az adott felhasználóhoz.

A vendégforgatókönyvekben, ahol egy felhasználó egy bérlőben található, és egy másikban hitelesít, úgy kell kezelnie a felhasználót, mintha teljesen új felhasználó lennének a szolgáltatásban. Az egyik bérlő dokumentumai és jogosultságai nem alkalmazhatók egy másik bérlőre. Ez a korlátozás fontos a bérlők véletlen adatszivárgásának és az adatéletciklusok kényszerítésének megakadályozása érdekében. A vendég bérlőből való kizárásának azt is el kell távolítania, hogy hozzáférjenek az adott bérlőben létrehozott adatokhoz.

Csoportok túlhasználati jogcíme

Annak érdekében, hogy a jogkivonat mérete ne haladja meg a HTTP-fejléc méretkorlátjait, a jogcímben groups szereplő objektumazonosítók száma korlátozott. Ha egy felhasználó több csoportnak is tagja, mint a túllépési korlát (SAML-jogkivonatok esetén 150, JWT-jogkivonatok esetén 200), a csoportok jogcíme nem szerepel a jogkivonatban. Ehelyett tartalmaz egy túlhasználati jogcímet a jogkivonatban, amely azt jelzi az alkalmazásnak, hogy lekérdezi a Microsoft Graph API-t a felhasználó csoporttagságának lekéréséhez.

{
  ...
  "_claim_names": {
   "groups": "src1"
    },
    {
  "_claim_sources": {
    "src1": {
        "endpoint":"[Url to get this user's group membership from]"
        }
       }
     }
  ...
}

Következő lépések

• További információ a Microsoft Entra ID-ban használt azonosító jogkivonatokról.