使用 powershell 为应用配置 Azure AD 访问令牌生命周期策略不起作用

Question

我们正在尝试使用以下 powershell cmdlet 将访问令牌到期时间配置为 8 小时，但它并未在应用程序上强制执行。它在 org 应用时有效。级别（即 -IsOrganizationDefault $true）。

New-AzureADPolicy -Definition @('{"TokenLifetimePolicy":{"Version":1,"AccessTokenLifetime":"08:00:00"}}') -DisplayName $policyName -IsOrganizationDefault $false -Type "TokenLifetimePolicy"
 
$app = Get-AzureADApplication -Filter "DisplayName eq '$applicationName'"

Add-AzureADApplicationPolicy -Id $app.ObjectId -RefObjectId $policy.Id

参考：https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-configurable-token-lifetimes

*注意：2020 年 5 月 30 日之后，新租户将无法使用可配置令牌生命周期策略来配置会话和刷新令牌。但是，在弃用之后，您仍然可以配置访问令牌的生命周期。

在将 Azure AD 中的 oAuth/OIDC 应用程序的访问令牌到期时间配置为 8 小时时需要帮助（默认为 1 小时）。

Answer 1

根据我的测试，目前它只适用于-IsOrganizationDefault $true，无论使用Add-AzureADServicePrincipalPolicy 或Add-AzureADApplicationPolicy，如果-IsOrganizationDefault $false，都不起作用。

目前，配置令牌生命周期政策功能仍处于预览版。我认为这个功能可能还没有完全实现，这造成了问题。微软应该在未来实现它。

Answer 2

问题已解决。创建了 8 小时 AccessTokenLifetime 政策。在 Application ServicePrincipal 上应用了 TokenLifetimePolicy。在 Azure AD 中为应用程序设置 App ID URI，并在授权请求中将其作为范围（而不是 MS Graph 默认范围）传递，以生成 8 小时访问令牌。