authentication - アプリケーションは ID プロバイダーからのセキュリティ トークンをどのように認識しますか?

Question

アプリケーションと発行者または ID プロバイダーの間に信頼関係がある場合、このアプリケーションがセキュリティ トークンが発行者のみからのものであることを認識する方法は何ですか? これにより、クレームと共にトークン内に何らかの情報が含まれているのでしょうか?それとも、アプリケーションで ID プロバイダーを作成するときに最初に定義されているのでしょうか?

Answer 1

両方: RP (アプリケーション) には「信頼できる発行者」 (STS) のリストがあり、トークンは STS によってデジタル署名されています。トークンの整合性は、以前に構成されたリストに対してアプリで検証されます。

侵害されていないトークンがアプリによって受信されたが、それがリストにない発行者からのものである場合、それは拒否されます。

他の検証もあります (realm、audienceUri)。

また、「信頼」は一方向ですが、通常は両端で構成する必要があります。