Azure SSO JWT 토큰은 로그 아웃 후에도 유효합니다.

Question

클라이언트 측에서 생성되어 세션 저장 공간에 저장되는 JWT 토큰을 가지고 있습니다. Authorize 특성으로 장식 된 ASP.NET WebApi 끝점으로 전달됩니다. 사용자가 내 응용 프로그램에서 로그 아웃하면 토큰을 삭제하고 Azure에서 사용자를 서명 할 수 있습니다.

그러나 사용자가 다른 Azure 사이트로 이동하여 로그 아웃하면 내 응용 프로그램에 사용 된 토큰이 유효합니다 (사용자가 로그 아웃 된 경우에도 유효합니다). WebApi가 Azure로 다시 전화를 걸어 다시 인증하도록하려면 어떻게해야합니까? 각 요청에 대한 토큰?

감사합니다,

조

Answer 1

푸른 AD JWT 액세스 토큰은 자체 서명하고 페이로드는 토큰이 유효한 때까지 특급 타임 스탬프, 날짜를 포함합니다. 신뢰 당사자 응용 프로그램은 Azure AD와 통신하지 않고 토큰의 유효성을 검사하지만 자체 서명 된 정보를 사용합니다.
언급 한대로 로그 아웃하는 유일한 방법은 토큰을 삭제하는 것입니다.

언제 당신이 단지 로그 아웃 새로운 액세스 토큰을 만들 수있는 가능성 푸른 AD SSO에서 로그 아웃 하지만, 이미 발행 된 액세스 토큰이 만료 될 때까지 계속 작동합니다.
Azure AD SSO에서 로그 아웃하고 응용 프로그램에 대한 액세스 토큰을 유지하십시오. 액세스 할 수는 있습니다.

두 응용 프로그램 모두에서 로그 아웃하려면 두 응용 프로그램 모두에 대한 액세스 토큰을 삭제해야합니다.