Tokenvalidierung

Stellen Sie sicher, dass der Wert des Zielgruppenanspruchs (aud) den Wert client_id der Anwendung enthält. Der Claim aud (Zielgruppe) kann ein Array mit mehreren Elementen enthalten. Das ID-Token muss abgelehnt werden, wenn das ID-Token den Client nicht als gültige Zielgruppe auflistet oder zusätzliche Zielgruppen enthält, die vom Client nicht vertrauenswürdig sind.

Prüfen Sie, ob die aktuelle Zeit vor der Zeit liegt, die durch den Ablaufzeitanspruch (exp) dargestellt wird.

Beispiel

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

Prüfen Sie, ob der Wert des Issuer Identifier-(iss-)Claims genau mit dem Wert des iss-(Emittenten-)Claims übereinstimmt: https://<domainURL>/

Überprüfen Sie, ob das Zugriffstoken ordnungsgemäß vom Aussteller signiert wurde.

• Rufen Sie das öffentliche Zertifikat des Mandanten vom SigningCert/jwk-Endpunkt ab (Beispiel: https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk).

  Hinweis
  
  Da Identitätsdomains PublicKeys selten ändern, können Sie die PublicKeys cachen und in den meisten Fällen die lokale Validierung effizient ausführen. Dazu müssen Zertifikate abgerufen und geparst und die entsprechenden Kryptoaufrufe getätigt werden, um die Signatur zu prüfen:

• Verwenden Sie beliebige verfügbare JWT-Librarys, um beispielsweise die Nimbus JWT Library von Connect2id für Java zu validieren. Eine Liste der verfügbaren Librarys finden Sie unter JWT.

• Übergeben Sie das Zertifikat beispielsweise mit der Nimbus SignedJWT-API an die API der jeweiligen Bibliothek:

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  Hinweis
  
  Im Falle eines Fehlers bei der Signaturvalidierung sollte das erneute Abrufen/Erneut Zwischenspeichern des Public Keys auf einem Zeitintervall (z. B. 60 Minuten) basieren, um bei Angriffen mit gefälschten Token konstante Wiedereinstellungen zu verhindern, sodass Wiedereinstellungen nur alle 60 Minuten erfolgen.

Prüfen Sie, ob der Wert des Issuer Identifier-(iss-)Claims genau mit dem Wert des iss-(Emittenten-)Claims übereinstimmt: https://<domainURL>/

Prüfen Sie, ob das Zugriffstoken den vom Client angeforderten Zielgruppenanspruch (aud) aufweist. Der Wert des Anspruchs aud ändert sich von Geltungsbereich zu Geltungsbereich. Der aud-Anspruch ist ein Array, wenn mehrere Zielgruppen vorhanden sind. Er ist eine Zeichenfolge, wenn nur eine Zielgruppe vorhanden ist.

Der aud-Claim ist die primäre Zielgruppe des Ressourcenservers der IAM-Identitätsdomainanwendung. Wenn sekundäre Zielgruppen in der IAM-Identitätsdomainanwendung definiert sind, werden sie auch als Teil des aud-Claims hinzugefügt. Im Rahmen der Validierung des Zugriffstokens muss der Server den Zugriff zulassen, wenn einer der Werte im Array aud für den Ressourcenserver sinnvoll ist.

Prüfen Sie, ob die aktuelle Zeit vor der Zeit liegt, die durch den Ablaufzeitanspruch (exp) dargestellt wird.

Prüfen Sie, ob das Zugriffstoken berechtigt ist, den Vorgang basierend auf dem Inhalt des Geltungsbereichsanspruchs auszuführen. Der Scope Claim im Zugriffstoken ist eine durch Leerzeichen getrennte Liste von Zeichenfolgen.