来自 okta auth0 我如何提高 azure 广告令牌的有效性？

Question

我使用 Okta 作为用户管理的身份提供程序，并将 Azure AD 与 Auth0 集成以进行身份验证。但是，当我使用 auth0 的 API 进行身份验证后检索用户信息时

url = 'https://' + AUTH0_DOMAIN + '/api/v2/users/' + user_id

我注意到每次调用 API 时，提供商访问令牌都保持不变。 有没有办法获得不同的令牌。如果没有，那么我如何增加提供商访问令牌的到期时间 因为我的 auth0 过期时间是 72 小时，而 azure ad 是 1 小时。

我已经使用过这个，但它对我没有帮助： https://learn.microsoft.com/en-us/entra/identity-platform/configure-token-lifetimes#create-a-policy-and-assign-it-to-a-service-principal

Answer 1

要延长 Azure AD 访问令牌的令牌生命周期，您可以使用 Microsoft Graph Explorer 或 PowerShell：

POST https://graph.microsoft.com/v1.0/policies/tokenLifetimePolicies
Content-type: application/json

{
    "definition": [
        "{\"TokenLifetimePolicy\":{\"Version\":1,\"AccessTokenLifetime\":\"23:59:59\"}}"
    ],
    "displayName": "token lifetime policy",
    "isOrganizationDefault": true
}

对于 sample，我生成了访问令牌，令牌有效期为 24 小时：

https://login.microsoftonline.com/TenantID/oauth2/v2.0/token

client_id:ClientID
client_secret:ClientSecret
grant_type:client_credentials
scope:https://graph.microsoft.com/.default

注意：Azure AD 访问令牌的生命周期可以设置在 10 分钟到 24 小时之间。

• 您可以将令牌生命周期策略分配给服务主体而不是整个组织。检查这个MsDoc
• 您还可以使用以下 PowerShell 脚本代替 Microsoft Graph Explorer。参考这个MsDoc
• 确保获得

  Policy.ReadWrite.ApplicationConfiguration

  权限同意执行该操作。