如何配置 Azure AD 访问令牌的过期时间（使用 ADAL）？

Question

我们使用 Azure AD 通过用户的 Office 365 帐户向我们的 WPF 应用程序验证用户身份。这是使用 Active Directory 身份验证库 (ADAL) 完成的。

目前，每次打开应用程序时都会提示他们登录。我们想要更改它以允许通过缓存的令牌登录到应用程序。这可行，但我们希望将令牌的到期时间缩短到 24 小时或更短，在该时间过后需要再次登录。

我看不到在代码中操纵访问令牌过期的方法。这是需要在 Azure AD 中完成的事情吗？

Answer 1

总结

您不能使用 ADAL 来配置令牌的到期时间。 ADAL 是一个身份验证库，可帮助您与令牌服务进行交互，但您可以在服务主体、应用程序或租户上设置令牌生命周期配置。

您需要使用 Powershell 创建描述所需行为的策略，并将其链接到您的服务主体、租户或应用程序。请记住，如果您正在构建多租户应用程序，租户的所有者可以覆盖您的策略。

tl;dr: 不要依赖应用中的令牌生命周期，因为它随时可能发生变化。

创建和设置令牌生命周期策略

您可以使用Azure AD Powershell Commands 设置这些属性。然后运行以下命令来设置访问令牌的生命周期：

1. 登录到 Powershell。

Connect-AzureAD -Confirm

1. 创建新策略以将访问令牌有效期设置为 2 小时。您可以将其更改为 10 分钟到 1 天之间。

New-AzureADPolicy -Definition @('{"TokenLifetimePolicy":{"Version":1,"AccessTokenLifetime":"02:00:00","MaxAgeSessionSingleFactor":"02:00:00"}}') -DisplayName "WebPolicyScenario" -IsOrganizationDefault $false -Type "TokenLifetimePolicy"

1. 获取策略的 ObjectId。

Get-AzureAdPolicy

4. 将新策略链接到您的应用程序。您可以使用 GraphExplorer 获取应用的 objectId。

Add-AzureADApplicationPolicy -Id <ObjectId of the Application> -RefObjectId <ObjectId of the Policy>

如需更多示例和完整文档，请查看Azure AD Configurable Token Lifetime。