adfs（oauth2）令牌验证如何进行？

Question

我为OAuth2设置了ADFS3.0，我终于在我的客户端应用程序上得到了“访问令牌”。

像这样的事情：

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8

{ 
    "access_token":"<access_token>",
    "token_type":"bearer",
    "expires_in":3600
}

令牌由标题部分、有效载荷和签名组成。

现在，我将请求与令牌一起发送到我的资源服务器。我想从我的资源服务器对ADFS（认证服务器和IDP）验证令牌。

这是我在adfs上的证书：

CertificateType : Token-Signing
IsPrimary       : True
StoreLocation   : CurrentUser
StoreName       : My
Thumbprint      : xyz

如何做到这一点？

更新：关于令牌的一些信息：

标题：

{
  "typ": "JWT",
  "alg": "RS256",
  "x5t": "abc"
}

有效载荷：

{
  "aud": "https://serverurl",
  "iss": "http://.../adfs/services/trust",
  "iat": 1473063317,
  "exp": 1473066917,
  "auth_time": "2016-09-05T08:15:17.875Z",
  "authmethod":     "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport",
  "ver": "1.0",
  "appid": "some-uid"
}

签名：

{
  RSASHA256(
    base64UrlEncode(header) + "." +
    base64UrlEncode(payload),
    Ceritifate/secret
} 

计划授权授予流程（简短版本无授权授予代码详细信息）：

我们有自己的客户端应用程序（issuer），它从ADFS（auth idp）请求令牌，然后将令牌请求发送到资源服务器，然后资源服务器应根据ADFS验证令牌。我缺少的是来自ADF的一些endpoint，如果签名/令牌有效。Thers在adfs服务器上有一个/adfs/oauth2endpoint（我也从那里获得了acces授权），但是有些缺少来自microsoft的文档。。。

Answer 1

您想验证签名。

如果是，请参阅OAuth2：验证Azure AD JWT签名。

基本上使用“已知的/openid配置”来获取“公共/discovery/keys”，然后从中构建证书。