Tokenvalidierung

Stellen Sie sicher, dass der Wert des Zielgruppenanspruchs (aud) den Wert client_id der Anwendung enthält. Der Claim aud (audience) kann ein Array mit mehreren Elementen enthalten. Das ID-Token muss abgelehnt werden, wenn das ID-Token den Client nicht als gültige Zielgruppe auflistet oder wenn es zusätzliche Zielgruppen enthält, denen der Client nicht vertraut.

Stellen Sie sicher, dass die aktuelle Zeit vor der Zeit liegt, die durch den Claim für die Ablaufzeit (exp) dargestellt wird.

Beispiel

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

Stellen Sie sicher, dass der Wert des Claims der Aussteller-ID (iss) genau mit dem Wert des Claims iss (Aussteller) übereinstimmt: https://<domainURL>/

Stellen Sie sicher, dass das Zugriffstoken vom Aussteller ordnungsgemäß signiert wurde.

• Rufen Sie das öffentliche Zertifikat des Mandanten vom Endpunkt SigningCert/jwk ab (Beispiel: https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk).

  Hinweis
  
  Da Identitätsdomains Public Keys selten ändern, können Sie die Public Keys cachen und in den meisten Fällen eine lokale Validierung effizient durchführen. Dazu müssen Zertifikate abgerufen und geparst und die entsprechenden Kryptoaufrufe ausgeführt werden, um die Signatur zu prüfen:

• Verwenden Sie alle verfügbaren JWT-Librarys, um beispielsweise die Nimbus JWT Library for Java von Connect2id zu validieren. Eine Liste der verfügbaren Librarys finden Sie unter JWT.

• Übergeben Sie das Zertifikat an die API der jeweiligen Bibliothek, z.B. mit der Nimbus-API SignedJWT:

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  Hinweis
  
  Im Falle eines Fehlers bei der Signaturvalidierung sollte das erneute Abrufen/erneute Caching des Public Keys auf einem Zeitintervall basieren, wie z.B. 60 Minuten, damit Neufestsetzungen nur alle 60 Minuten erfolgen, um ständige Neufestsetzungen bei Angriffen mit falschen Token zu verhindern.

Stellen Sie sicher, dass der Wert des Claims der Aussteller-ID (iss) genau mit dem Wert des Claims iss (Aussteller) übereinstimmt: https://<domainURL>/

Stellen Sie sicher, dass das Zugriffstoken den vom Client angeforderten Zielgruppen-Claim (aud) aufweist. Der Wert des Claims aud ändert sich von Geltungsbereich zu Geltungsbereich. Der Claim aud ist ein Array, wenn mehrere Zielgruppen vorhanden sind. Er ist eine Zeichenfolge, wenn nur eine Zielgruppe vorhanden ist.

Der aud-Claim ist die primäre Zielgruppe des Ressourcenservers der IAM-Identitätsdomainanwendung. Wenn in der IAM-Identitätsdomain-App sekundäre Zielgruppen definiert sind, werden diese auch als Teil des aud-Claims hinzugefügt. Im Rahmen der Zugriffstokenvalidierung muss der Server den Zugriff zulassen, wenn einer der Werte im Array aud für den Ressourcenserver sinnvoll ist.

Stellen Sie sicher, dass die aktuelle Zeit vor der Zeit liegt, die durch den Claim für die Ablaufzeit (exp) dargestellt wird.

Prüfen Sie, ob das Zugriffstoken zur Ausführung des Vorgangs basierend auf dem Inhalt des Geltungsbereichs-Claims autorisiert ist. Der Geltungsbereich-Claim im Zugriffstoken ist eine durch Leerzeichen getrennte Liste von Zeichenfolgen.