Partilhar via

Tokens de ID na plataforma de identidade da Microsoft

  • Artigo

Os tokens de ID são um tipo de token de segurança que serve como prova de autenticação, confirmando que um usuário foi autenticado com êxito. As informações em tokens de ID permitem que o cliente verifique se um usuário é quem afirma ser, semelhante às tags de nome em uma conferência. O servidor de autorização emite tokens de ID que contêm declarações que carregam informações sobre o usuário. Eles podem ser enviados ao lado ou em vez de um token de acesso e são sempre no formato JWT (JSON Web Token).

Os tokens de ID diferem dos tokens de acesso, que servem como prova de autorização. Clientes confidenciais devem validar tokens de ID. Você não deve usar um token de ID para chamar uma API.

As aplicações de terceiros destinam-se a compreender os tokens de ID. Os tokens de identificação não devem ser usados para fins de autorização. Os tokens de acesso são usados para autorização. As declarações fornecidas pelos tokens de ID podem ser usadas para UX dentro do seu aplicativo, como chaves em um banco de dados e fornecendo acesso ao aplicativo cliente. Para obter mais informações sobre as declarações usadas em um token de ID, consulte a referência de declarações de token de ID. Para obter mais informações sobre autorização baseada em declarações, consulte Proteger aplicativos e APIs validando declarações.

Formatos de token

Há duas versões de tokens de ID disponíveis na plataforma de identidade da Microsoft: v1.0 e v2.0. Essas versões determinam as declarações que estão no token. Os tokens de ID v1.0 e v2.0 têm diferenças nas informações que carregam. A versão é baseada no ponto de extremidade de onde foi solicitada. Novos aplicativos devem usar a v2.0.

  • v1.0: https://login.microsoftonline.com/common/oauth2/authorize
  • v2.0: https://login.microsoftonline.com/common/oauth2/v2.0/authorize

Exemplo de token de ID v1.0

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6IjdfWnVmMXR2a3dMeFlhSFMzcTZsVWpVWUlHdyIsImtpZCI6IjdfWnVmMXR2a3dMeFlhSFMzcTZsVWpVWUlHdyJ9.eyJhdWQiOiJiMTRhNzUwNS05NmU5LTQ5MjctOTFlOC0wNjAxZDBmYzljYWEiLCJpc3MiOiJodHRwczovL3N0cy53aW5kb3dzLm5ldC9mYTE1ZDY5Mi1lOWM3LTQ0NjAtYTc0My0yOWYyOTU2ZmQ0MjkvIiwiaWF0IjoxNTM2Mjc1MTI0LCJuYmYiOjE1MzYyNzUxMjQsImV4cCI6MTUzNjI3OTAyNCwiYWlvIjoiQVhRQWkvOElBQUFBcXhzdUIrUjREMnJGUXFPRVRPNFlkWGJMRDlrWjh4ZlhhZGVBTTBRMk5rTlQ1aXpmZzN1d2JXU1hodVNTajZVVDVoeTJENldxQXBCNWpLQTZaZ1o5ay9TVTI3dVY5Y2V0WGZMT3RwTnR0Z2s1RGNCdGsrTExzdHovSmcrZ1lSbXY5YlVVNFhscGhUYzZDODZKbWoxRkN3PT0iLCJhbXIiOlsicnNhIl0sImVtYWlsIjoiYWJlbGlAbWljcm9zb2Z0LmNvbSIsImZhbWlseV9uYW1lIjoiTGluY29sbiIsImdpdmVuX25hbWUiOiJBYmUiLCJpZHAiOiJodHRwczovL3N0cy53aW5kb3dzLm5ldC83MmY5ODhiZi04NmYxLTQxYWYtOTFhYi0yZDdjZDAxMWRiNDcvIiwiaXBhZGRyIjoiMTMxLjEwNy4yMjIuMjIiLCJuYW1lIjoiYWJlbGkiLCJub25jZSI6IjEyMzUyMyIsIm9pZCI6IjA1ODMzYjZiLWFhMWQtNDJkNC05ZWMwLTFiMmJiOTE5NDQzOCIsInJoIjoiSSIsInN1YiI6IjVfSjlyU3NzOC1qdnRfSWN1NnVlUk5MOHhYYjhMRjRGc2dfS29vQzJSSlEiLCJ0aWQiOiJmYTE1ZDY5Mi1lOWM3LTQ0NjAtYTc0My0yOWYyOTU2ZmQ0MjkiLCJ1bmlxdWVfbmFtZSI6IkFiZUxpQG1pY3Jvc29mdC5jb20iLCJ1dGkiOiJMeGVfNDZHcVRrT3BHU2ZUbG40RUFBIiwidmVyIjoiMS4wIn0=.UJQrCA6qn2bXq57qzGX_-D3HcPHqBMOKDPx4su1yKRLNErVD8xkxJLNLVRdASHqEcpyDctbdHccu6DPpkq5f0ibcaQFhejQNcABidJCTz0Bb2AbdUCTqAzdt9pdgQvMBnVH1xk3SCM6d4BbT4BkLLj10ZLasX7vRknaSjE_C5DI7Fg4WrZPwOhII1dB0HEZ_qpNaYXEiy-o94UJ94zCr07GgrqMsfYQqFR7kn-mn68AjvLcgwSfZvyR_yIK75S_K37vC3QryQ7cNoafDe9upql_6pB2ybMVlgWPs_DmbJ8g0om-sPlwyn74Cc1tW3ze-Xptw_2uVdPgWyqfuWAfq6Q

Veja este token de exemplo v1.0 no jwt.ms.

Exemplo de token de ID v2.0

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6IjFMVE16YWtpaGlSbGFfOHoyQkVKVlhlV01xbyJ9.eyJ2ZXIiOiIyLjAiLCJpc3MiOiJodHRwczovL2xvZ2luLm1pY3Jvc29mdG9ubGluZS5jb20vOTEyMjA0MGQtNmM2Ny00YzViLWIxMTItMzZhMzA0YjY2ZGFkL3YyLjAiLCJzdWIiOiJBQUFBQUFBQUFBQUFBQUFBQUFBQUFJa3pxRlZyU2FTYUZIeTc4MmJidGFRIiwiYXVkIjoiNmNiMDQwMTgtYTNmNS00NmE3LWI5OTUtOTQwYzc4ZjVhZWYzIiwiZXhwIjoxNTM2MzYxNDExLCJpYXQiOjE1MzYyNzQ3MTEsIm5iZiI6MTUzNjI3NDcxMSwibmFtZSI6IkFiZSBMaW5jb2xuIiwicHJlZmVycmVkX3VzZXJuYW1lIjoiQWJlTGlAbWljcm9zb2Z0LmNvbSIsIm9pZCI6IjAwMDAwMDAwLTAwMDAtMDAwMC02NmYzLTMzMzJlY2E3ZWE4MSIsInRpZCI6IjkxMjIwNDBkLTZjNjctNGM1Yi1iMTEyLTM2YTMwNGI2NmRhZCIsIm5vbmNlIjoiMTIzNTIzIiwiYWlvIjoiRGYyVVZYTDFpeCFsTUNXTVNPSkJjRmF0emNHZnZGR2hqS3Y4cTVnMHg3MzJkUjVNQjVCaXN2R1FPN1lXQnlqZDhpUURMcSFlR2JJRGFreXA1bW5PcmNkcUhlWVNubHRlcFFtUnA2QUlaOGpZIn0.1AFWW-Ck5nROwSlltm7GzZvDwUkqvhSQpm55TQsmVo9Y59cLhRXpvB8n-55HCr9Z6G_31_UbeUkoz612I2j_Sm9FFShSDDjoaLQr54CreGIJvjtmS3EkK9a7SJBbcpL1MpUtlfygow39tFjY7EVNW9plWUvRrTgVk7lYLprvfzw-CIqw3gHC-T7IK_m_xkr08INERBtaecwhTeN4chPC4W3jdmw_lIxzC48YoQ0dB1L9-ImX98Egypfrlbm0IBL5spFzL6JDZIRRJOu8vecJvj1mq-IUhGt0MacxX8jdxYLP-KUu2d9MbNKpCKJuZ7p8gwTL5B7NlUdh_dmSviPWrw

Veja este token de exemplo v2.0 no jwt.ms.

Duração do token

Por padrão, um token de ID é válido por uma hora - após uma hora, o cliente deve adquirir um novo token de ID.

Você pode ajustar o tempo de vida de um token de ID para controlar a frequência com que o aplicativo cliente expira a sessão do aplicativo e com que frequência ele exige que o usuário se autentique novamente silenciosamente ou interativamente. Para obter mais informações, leia Tempos de vida do token configurável.

Validar tokens

Para validar um token de ID, seu cliente pode verificar se o token foi adulterado. Ele também pode validar o emissor para garantir que o emissor correto tenha enviado de volta o token. Como os tokens de ID são sempre um token JWT, muitas bibliotecas existem para validar esses tokens - você deve usar uma dessas bibliotecas em vez de fazê-lo sozinho. Apenas clientes confidenciais devem validar tokens de ID. Para obter mais informações, consulte Proteger aplicativos e APIs validando declarações.

Aplicativos públicos (código executado inteiramente em um dispositivo ou rede que você não controla, como o navegador de um usuário ou sua rede doméstica) não se beneficiam da validação do token de ID. Nesse caso, um usuário mal-intencionado pode intercetar e editar as chaves usadas para validação do token.

As seguintes declarações JWT devem ser validadas no token de ID depois de validar a assinatura no token. Sua biblioteca de validação de token também pode validar as seguintes declarações:

  • Carimbos de data/hora: o iat, nbfe exp os carimbos de data/hora devem cair antes ou depois da hora atual, conforme apropriado.
  • Público: a aud reivindicação deve corresponder ao ID do aplicativo para seu aplicativo.
  • Nonce: a nonce declaração na carga útil deve corresponder ao parâmetro nonce passado para o /authorize endpoint durante a solicitação inicial.

Conteúdos relacionados