将应用程序与Azure Active Directory集成：重新验证Id_token以检查用户是否已注销

Question

目前，我正在使用微软的这个库将我的应用程序与Azure AD集成:

https://github.com/AzureAD/azure-activedirectory-library-for-js

我的应用程序有自己的用户身份验证。应用程序仅存储用户名，并使用它来映射来自 Azure AD 的用户名。我使用 OAuth 隐式授权和id_token来登录用户。

这是我正在实现的身份验证流程：

1. 用户单击“登录”
2. 应用程序将用户重定向到microsoft登录页面
3. 用户输入用户名/密码
4. Microsoft登录页面将用户重定向到我的应用程序中的azure登录处理页面
5. 应用程序的后端代码使用C#验证收到的令牌，以确保它来自Azure AD，代码示例来自：https://github.com/Azure-Samples/active-directory-dotnet-webapi-manual-jwt-validation.
6. 如果令牌有效，则检查系统中是否存在来自令牌的用户名
7. 如果是，则使用从应用程序的OWIN上下文生成的令牌对用户进行身份验证

问题：

上面第5步中的库只能验证令牌是否有效，包括Azure租户、客户端ID及其过期时间。它不需要网络访问权限。

这意味着即使用户已经使用microsoft注销url注销：https://login.microsoftonline.com/tenant-id/oauth2/logout?post_logout_redirect_uri=uri，来自azure的id_token仍然有效。

我的问题是：

是否有任何方法来检查用户是否在Azure AD中注销，然后使id_token无效，并要求用户重新登录？

更新：

我之所以使用id_token，是因为我只需要用户在 Azure AD 上拥有有效的帐户，并且不需要与 Azure AD 进行任何进一步的联系。

Answer 1

ID令牌在到期前被视为有效。通常，web应用程序将用户在应用程序中的会话生存期与为用户颁发的ID令牌的生存期相匹配。您可以调整ID令牌的生存期，以控制web应用程序使应用程序会话过期的频率，以及它要求用户使用Azure AD重新验证的频率（无提示或交互）。

Access Token Lifetime策略控制此资源的访问和ID令牌的有效期。减少Access Token Lifetime属性可以降低访问令牌或ID令牌被恶意行为者长时间使用的风险。（这些令牌不能被撤销。）权衡是性能受到不利影响，因为令牌必须更频繁地更换。

要创建策略，请运行以下命令:

PowerShell

New-AzureADPolicy -Definition @('{"TokenLifetimePolicy":{"Version":1,"AccessTokenLifetime":"02:00:00","MaxAgeSessionSingleFactor":"02:00:00"}}') -DisplayName "WebPolicyScenario" -IsOrganizationDefault $false -Type "TokenLifetimePolicy"

参考:Azure Active Directory中可配置的令牌生存期