代币主张为代理人提供引用

代理在认证和授权流程中使用专门的令牌声明来识别不同实体类型及其关系。 这些索赔使得代理人运营能够进行正确的归属、保单评估和审计追踪。 本文概述了代理应用的令牌权利要求，详细说明了令牌如何识别代理实体及其在认证流程中的角色。

使用代理标识的客户端应将颁发给它们用于资源服务器的访问令牌视为不会被解析，不要尝试分析它们。 但是，接收颁发给代理的访问令牌的资源服务器需要分析令牌以验证令牌并提取声明以进行授权。

核心令牌权利要求类型

为用于资源访问的标识颁发的令牌包括通常希望在Microsoft Entra问题的访问令牌中看到的声明。 更多信息请参见 通行令牌索赔参考资料。 以下示例展示了一个自动行动的代理的示例访问令牌。

{
  "aud": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "iss": "https://sts.chinacloudapi.cn/00000001-0000-0ff1-ce00-000000000000/",
  "iat": 1753392285,
  "nbf": 1753392285,
  "exp": 1753421385,
  "aio": "Y2JgYGhn1nzmErKqi0vc4Fr6H22/C5/4FP+xZbZYpik8nRkp+gEA",
  "appid": "11112222-bbbb-3333-cccc-4444dddd5555",
  "appidacr": "2",
  "idp": "https://sts.chinacloudapi.cn/00000001-0000-0ff1-ce00-000000000000/",
  "idtyp": "app",
  "oid": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "rh": "1.AAAAAQAAAAAA8Q_OAAAAAAAAADQNUfLKjbhKoLyq7E06PjYAAAAAAA.",
  "sub": "bbbbbbbb-1111-2222-3333-cccccccccccc",
  "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
  "uti": "m5RaaRnoFUyp2TbSCAAAAA",
  "ver": "1.0",
  "xms_act_fct": "3 9 11",
  "xms_ftd": "Z5DrW4HFOkR_Lz0M5qETa260d2-fO6seMZJ_tOwRNuc",
  "xms_idrel": "7 10",
  "xms_sub_fct": "9 3 11",
  "xms_tnt_fct": "3 9",
  "xms_par_app_azp": "30cf4c22-9985-4ef7-8756-91cc888176bd"
}

在 v2 代币中，你看到azpappid的不是 。 它们都指代理身份的应用ID。

你会注意到，该令牌包含了一些之前在发放给申请的访问令牌中未见的声明。 以下可选声明也被支持，以表明这些令牌是用于代理身份的。 它们还提供了代理身份在哪些环境下发挥作用。

  • xms_tnt_fct
  • xms_sub_fct
  • xms_act_fct
  • xms_par_app_azp
声明名称 说明
tid 客户租户的租户ID，代理身份注册的地址。 是令牌有效的租户。
sub 主体（被认证的用户、服务主体或代理身份）
oid 主体的物体识别。 用户委托场景的用户对象ID。 仅应用场景的代理ID服务主体OID。 代理的用户帐户 OID 用于用户模拟方案。
idtyp 该实体的类型。 值为 user、app。
xms_idrel 主体与资源租户之间的关系。 了解详细信息。
aud 受众（代理试图访问的API）
azp 或 appid 授权当事人/行为人。 代理身份的应用程序ID。 实现审计日志中客户的正确归属。
scp 范围。 用户上下文令牌的授权委托。 仅存在于用户委派和代理的用户帐户方案中。 空的或 / 仅适用于应用场景
xms_act_fct 演员方面声称。 了解详细信息。
xms_sub_fct 主体方面主张。 了解更多。
xms_tnt_fct 租户方面索赔。 了解更多。
xms_par_app_azp 授权方的父申请。 了解更多。

按方案排序的 idtyp 声明值

声明 idtyp 标识令牌主体表示的实体的类型。 该值取决于哪个代理流颁发了令牌：

代理场景 idtyp 值 主题（sub/oid）
代理流（交互式代理） user 代理代表的用户
自治应用流（仅限应用） app 代理标识服务主体
代理的用户帐户流 user 代理自己的用户帐户

注释

仅该值 idtyp 不区分人工用户与代理的用户帐户。 xms_sub_fct使用声明（值 13 = 代理的用户帐户）来区分这些方案。

xms_idrel

xms_idrel该声明表示令牌所发放实体与资源租户之间的身份关系。

以下是该索赔可能 xms_idrel 的数值。 这是一个多值权利要求，意味着它可以有多个价值，中间有空格。 这些数值以整数表示。 有效值始终为奇数，从1开始。

索赔价值 说明
1 成员用户
3 MSA会员用户
5 来宾用户
7 服务主体
9 器件原理
11 GDAP用户
13 SPLess 应用
15 透传
17 带配置文件的本地身份用户
19 本地身份用户
21 原住民身份团队会议参与者
23 直通认证的Teams会议参与者
25 原生身份内容共享用户
27 完全同步的MTO成员
29 弱MTO用户
31 DAP用户
33 联邦管理身份

xms_tnt_fct、xms_sub_fct和xms_act_fct索赔

xms_tnt_fct该索赔描述了租户（由tid索赔中识别）。 xms_sub_fct和xms_act_fct声明分别用于描述标记的主体（sub）和行为者（azp或appid）的事实。 这些说法为代理人的身份及其所执行的行为提供了更多背景信息。

以下是这些主张的相关数值。 这些权利要求是多重价值的，意味着它们可以有多个价值，且之间隔着空格。 有效值始终为奇数，从1开始。

索赔价值 说明
11 代理身份
13 AgentIDUser

你应该忽略那些与你的场景或验证逻辑无关的数值。 忽略与申请无关的数值。 这些权利要求中不要假设任何价值顺序。

xms_par_app_azp

xms_par_app_azp该权利要求用于识别授权方的父申请（azp或appid）。 如果包含了，它就是一个GUID。 你可以用理赔来确定父母身份

记录父应用ID以便审计。 Microsoft Entra ID登录日志始终包含父 ID（如果可用），因此资源服务器应执行相同的操作。 不建议使用父应用 ID 进行授权决策，因为这会导致许多代理广泛访问。

场景示例

以下部分概述了一些授权情形及每种情形的相关主张。

代表人类用户的代理身份

在这种情况下，代理身份代表人类用户。 该通行令牌包含以下声明：

声明名称 说明
tid 客户租户的租户ID
idtyp user （表示主体为用户）
xms_idrel 1 （表示成员用户;其他用户也可能）
azp / appid 代理身份的应用ID
scp 授予代理身份的授权
oid 用户对象ID
aud 代币的资源受众
xms_act_fct 11 （代理身份）

智能体身份自主行动

在这种情况下，代理身份使用自身的身份来行动。 该通行令牌包含以下声明：

声明名称 说明
tid 客户租户的租户ID
idtyp app （表示主题为应用）
xms_idrel 7 （指服务负责人）
azp / appid 代理身份的应用ID
roles 授予代理身份的权限
oid 代理身份的对象ID
xms_act_fct 11 （代理身份）
xms_sub_fct 11 （代理身份）
aud 代币的资源受众
scp 空的或 / （未瞄准镜）。

代理标识通过代理的用户帐户自主执行操作

在此方案中，代理使用与其代理标识关联的代理用户帐户获取令牌。 该通行令牌包含以下声明：

声明名称 说明
tid 客户租户的租户ID
idtyp user （表示主体为用户）
xms_idrel 1 （表示成员用户;其他用户也可能）
azp / appid 代理身份的应用ID
scp 授予代理身份的授权
oid 代理用户帐户的对象 ID
xms_act_fct 11 （代理身份）
xms_sub_fct 13 （代理的用户帐户）
aud 代币的资源受众
  • Last updated on