Konfigurovatelné životnosti tokenů na platformě Microsoft Identity Platform (Preview)
Můžete zadat dobu života přístupového, ID nebo tokenu SAML vydaného platformou Microsoft Identity Platform. Životnost tokenů můžete nastavit pro všechny aplikace ve vaší organizaci, pro aplikace s více tenanty (více organizacemi) nebo pro instanční objekty. V současné době nepodporujeme konfiguraci životnosti tokenů pro instanční objekty spravované identity.
V Microsoft Entra ID představuje objekt zásad sadu pravidel, která jsou vynucena pro jednotlivé aplikace nebo pro všechny aplikace v organizaci. Každý typ zásady má jedinečnou strukturu s sadou vlastností, které se použijí na objekty, ke kterým jsou přiřazeny.
Zásady můžete určit jako výchozí zásady pro vaši organizaci. Zásady se použijí pro libovolnou aplikaci v organizaci, pokud zásady s vyšší prioritou nepřepíše. Zásady můžete také přiřadit konkrétním aplikacím. Pořadí priority se liší podle typu zásady.
Příklady konfigurace životnosti tokenů najdete v příkladech.
Poznámka:
Konfigurovatelné zásady životnosti tokenů platí jenom pro mobilní a desktopové klienty, kteří přistupuje k SharePointu Online a OneDrive pro firmy prostředkům, a nevztahuje se na relace webového prohlížeče. Ke správě životnosti relací webového prohlížeče pro SharePoint Online a OneDrive pro firmy použijte funkci životnosti relace podmíněného přístupu. Další informace o konfiguraci časových limitů nečinných relací najdete na blogu SharePointu Online.
Požadavky na licenci
Použití této funkce vyžaduje licenci Microsoft Entra ID P1. Pokud chcete najít správnou licenci pro vaše požadavky, přečtěte si téma Porovnání obecně dostupných funkcí edice Free a Premium.
Zákazníci s licencemi Microsoft 365 Business mají také přístup k funkcím podmíněného přístupu.
Zásady životnosti tokenů pro přístup, SAML a tokeny ID
Můžete nastavit zásady životnosti tokenů pro přístupové tokeny, tokeny SAML a tokeny ID.
Přístupové tokeny
Klienti používají přístupové tokeny pro přístup k chráněnému prostředku. Přístupový token lze použít pouze pro konkrétní kombinaci uživatele, klienta a prostředku. Přístupové tokeny nelze odvolat a jsou platné až do vypršení jejich platnosti. Aktér se zlými úmysly, který získal přístupový token, ho může použít v rozsahu své životnosti. Úprava doby životnosti přístupového tokenu je kompromisem mezi zlepšením výkonu systému a zvýšením doby, po kterou si klient zachová přístup po zakázání účtu uživatele. Vylepšený výkon systému se dosahuje snížením počtu, kolikrát klient potřebuje získat nový přístupový token.
Výchozí životnost přístupového tokenu je proměnná. Při vystavení se výchozí životnost přístupového tokenu přiřadí náhodné hodnotě v rozmezí od 60 do 90 minut (v průměru 75 minut). Výchozí životnost se také liší v závislosti na klientské aplikaci, která požaduje token nebo jestli je v tenantovi povolený podmíněný přístup. Další informace najdete v tématu Životnost přístupového tokenu.
Tokeny SAML
Tokeny SAML používají mnoho webových aplikací SaaS a získávají se pomocí koncového bodu protokolu SAML2 v Microsoft Entra ID. Využívají je také aplikace využívající WS-Federation. Výchozí životnost tokenu je 1 hodina. Z pohledu aplikace je doba platnosti tokenu určena hodnotou <conditions …> NotOnOrAfter prvku v tokenu. Po uplynutí doby platnosti tokenu musí klient zahájit novou žádost o ověření, která bude často splněna bez interaktivního přihlášení v důsledku tokenu relace Jednotné přihlašování (SSO).
Hodnotu NotOnOrAfter lze změnit pomocí AccessTokenLifetime parametru v souboru TokenLifetimePolicy. Pokud existuje, nastaví se na dobu života nakonfigurovanou v zásadách a můžou se jednat o faktor nerovnoměrné distribuce hodin 5 minut.
Potvrzení předmětu NotOnOrAfter zadané v <SubjectConfirmationData> elementu není ovlivněno konfigurací Životnost tokenu.
Tokeny ID
Tokeny ID se předávají webům a nativním klientům. Tokeny ID obsahují informace o profilu uživatele. Token ID je vázán na konkrétní kombinaci uživatele a klienta. Tokeny ID se považují za platné až do vypršení jejich platnosti. Webová aplikace obvykle odpovídá životnosti relace uživatele v aplikaci k době života tokenu ID vydaného uživateli. Dobu životnosti tokenu ID můžete upravit, abyste mohli řídit, jak často vyprší platnost relace aplikace a jak často vyžaduje, aby se uživatel znovu ověřil pomocí platformy Microsoft Identity Platform (buď bezobslužně, nebo interaktivně).
Zásady životnosti tokenů pro obnovovací tokeny a tokeny relací
Nelze nastavit zásady životnosti tokenů pro obnovovací tokeny a tokeny relací. Informace o životnosti, vypršení časového limitu a odvolání obnovovacích tokenů najdete v tématu Obnovovací tokeny.
Důležité
Od 30. ledna 2021 nemůžete konfigurovat životnosti obnovovacího a tokenu relace. Microsoft Entra už neresektuje konfiguraci tokenu aktualizace a relace v existujících zásadách. Nové tokeny vydané po vypršení platnosti existujících tokenů jsou teď nastavené na výchozí konfiguraci. Po vyřazení konfigurace tokenu aktualizace a tokenu relace můžete stále nakonfigurovat dobu platnosti tokenů SAML a ID.
Životnost existujícího tokenu se nezmění. Po vypršení platnosti se vystaví nový token na základě výchozí hodnoty.
Pokud potřebujete pokračovat v definování časového období před tím, než se uživateli zobrazí výzva k opětovnému přihlášení, nakonfigurujte frekvenci přihlašování v podmíněném přístupu. Další informace o podmíněném přístupu najdete v tématu Konfigurace správy relací ověřování pomocí podmíněného přístupu.
Konfigurovatelné vlastnosti životnosti tokenu
Zásada životnosti tokenu je typ objektu zásad, který obsahuje pravidla životnosti tokenu. Tato zásada řídí, jak dlouho se považují za platné tokeny přístupu, SAML a ID pro tento prostředek. Zásady životnosti tokenů nelze nastavit pro tokeny aktualizace a relace. Pokud není nastavená žádná zásada, systém vynutí výchozí hodnotu životnosti.
Vlastnosti zásad životnosti tokenu SAML2, ID a SAML2
Omezení vlastnosti Životnost přístupového tokenu snižuje riziko, že přístupový token nebo token ID používá škodlivý objekt actor po delší dobu. (Tyto tokeny nelze odvolat.) Kompromisem je, že výkon je nepříznivě ovlivněn, protože tokeny musí být nahrazeny častěji.
Příklad najdete v tématu Vytvoření zásady pro přihlášení k webu.
Konfigurace tokenu ACCESS, ID a SAML2 jsou ovlivněna následujícími vlastnostmi a jejich nastavenými hodnotami:
- Vlastnost: Životnost přístupového tokenu
- Řetězec vlastnosti zásady: AccessTokenLifetime
- Vliv: Přístupové tokeny, tokeny ID, tokeny SAML2
- Výchozí hodnota:
- Přístupové tokeny: liší se v závislosti na klientské aplikaci požadující token. Například klienti podporující průběžné vyhodnocování přístupu (CAE), kteří vyjednávají relace s podporou caE, uvidí dlouhou životnost tokenu (až 28 hodin).
- Tokeny ID, tokeny SAML2: 1 hodina
- Minimum: 10 minut
- Maximum: 1 den
Vlastnosti zásad životnosti tokenu aktualizace a relace
Konfigurace tokenu aktualizace a relace jsou ovlivněna následujícími vlastnostmi a jejich odpovídajícími nastavenými hodnotami. Po vyřazení konfigurace tokenu aktualizace a relace 30. ledna 2021 bude ID Microsoft Entra respektovat pouze výchozí hodnoty popsané níže. Pokud se rozhodnete používat podmíněný přístup ke správě četnosti přihlašování, vaše aktualizace a tokeny relací se nastaví na výchozí konfiguraci k tomuto datu a už nebudete moct měnit jejich životnost.
| Vlastnost | Řetězec vlastnosti zásady | Ovlivňuje | Výchozí |
|---|---|---|---|
| Maximální doba nečinnosti obnovovacího tokenu | MaxInactiveTime | Obnovovací tokeny | 90 dní |
| Maximální stáří tokenu pro jednofaktorové aktualizace | MaxAgeSingleFactor | Obnovovací tokeny (pro všechny uživatele) | Do odvolání |
| Maximální stáří tokenu multi-Factor Refresh | MaxAgeMultiFactor | Obnovovací tokeny (pro všechny uživatele) | Do odvolání |
| Maximální věk tokenu jednofaktorové relace | MaxAgeSessionSingleFactor | Tokeny relace (trvalé a trvalé) | Do odvolání |
| Maximální stáří tokenu multi-Factor Session | MaxAgeSessionMultiFactor | Tokeny relace (trvalé a trvalé) | Do odvolání |
Tokeny relace, které nejsou trvalé, mají maximální dobu nečinnosti 24 hodin, zatímco tokeny trvalých relací mají maximální dobu nečinnosti 90 dnů. Kdykoli se token relace jednotného přihlašování použije během doby platnosti, doba platnosti se prodlouží o dalších 24 hodin nebo 90 dnů. Pokud se token relace jednotného přihlašování v rámci svého maximálního časového období nepoužívá, považuje se za prošlý a už nebude přijat. Všechny změny tohoto výchozího období by se měly změnit pomocí podmíněného přístupu.
Pomocí PowerShellu můžete najít zásady, které budou ovlivněny vyřazením. Pomocí rutin PowerShellu můžete zobrazit všechny zásady vytvořené ve vaší organizaci nebo zjistit, které aplikace jsou propojené s konkrétní zásadou.
Vyhodnocení zásad a stanovení priorit
Můžete vytvořit a přiřadit zásadu životnosti tokenu konkrétní aplikaci a vaší organizaci. Na konkrétní aplikaci se může použít více zásad. Zásady životnosti tokenu, které se projeví, se řídí těmito pravidly:
- Pokud je zásada explicitně přiřazená organizaci, vynucuje se.
- Pokud organizace explicitně nepřiřazuje žádnou zásadu, zásady přiřazené k aplikaci se vynutí.
- Pokud nejsou k organizaci nebo objektu aplikace přiřazeny žádné zásady, vynucují se výchozí hodnoty. (Viz tabulka v Konfigurovatelné vlastnosti životnosti tokenu.)
Platnost tokenu se vyhodnocuje v okamžiku, kdy se token použije. Zásady s nejvyšší prioritou aplikace, ke které se přistupuje, se projeví.
Všechny zde použité časové intervaly jsou formátovány podle objektu TimeSpan jazyka C# – D.HH:MM:SS. Takže 80 dní a 30 minut by bylo 80.00:30:00. Počáteční hodnota D se dá vynechat, pokud je nula, takže 90 minut by bylo 00:90:00.
REST API – referenční informace
Můžete nakonfigurovat zásady životnosti tokenů a přiřadit je k aplikacím pomocí Microsoft Graphu. Další informace najdete v tokenLifetimePolicy typu prostředku a souvisejících metodách.
Odkaz na rutinu
Jedná se o rutiny v sadě Microsoft Graph PowerShell SDK.
Správa zásad
Ke správě zásad můžete použít následující příkazy.
| Rutina | Popis |
|---|---|
| New-MgPolicyTokenLifetimePolicy | Vytvoří novou zásadu. |
| Get-MgPolicyTokenLifetimePolicy | Získá všechny zásady životnosti tokenu nebo zadanou zásadu. |
| Update-MgPolicyTokenLifetimePolicy | Aktualizace existující zásady. |
| Remove-MgPolicyTokenLifetimePolicy | Odstraní zadanou zásadu. |
Zásady použití
Pro zásady aplikací můžete použít následující rutiny.
| Rutina | Popis |
|---|---|
| New-MgApplicationTokenLifetimePolicyByRef | Propojuje zadanou zásadu s aplikací. |
| Get-MgApplicationTokenLifetimePolicyByRef | Získá zásady přiřazené k aplikaci. |
| Remove-MgApplicationTokenLifetimePolicyByRef | Odebere zásadu z aplikace. |
Další kroky
Další informace najdete v příkladech konfigurace životnosti tokenů.