您在此处：
API（启用 OAuth 设置）：配置 ID 令牌控制
此安全设置定义了 OpenID Connect ID 令牌的加密生命周期和数据结构。
控件名称
连接的应用程序：API（启用 OAuth 设置）：配置 ID 标记
推荐配置
配置 ID 令牌 - 令牌持续时间（以分钟为单位（2 分钟）| ID 令牌受众|包括标准声明|包括自定义权限|自定义属性。
控制概览
此安全设置通过指定到期间隔、目标受众标识符和包含特定用户级元数据来定义 OpenID Connect ID 令牌的加密生命周期和数据结构。
安全风险（如果未配置）
应用程序会话的弱 ID 令牌持续时间和不当管理的属性导致身份盗窃风险延长，其中含有敏感用户标识符的过时令牌对未经授权的重复使用仍然有效。
威胁场景
攻击者拦截长期 ID 令牌并提取永久用户元数据，或者使用活动会话在多个具有相同受众请求的下游集成系统中冒充受害者。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
不实施较短的令牌生命周期和受限的属性集会助长未经授权获取个人标识符，并增加对组织身份层成功进行重放攻击的可能性。
高风险
当 ID 令牌包含包含敏感业务逻辑的广泛自定义属性时，或者当受众声明设置为允许意外外部服务提供商接受令牌的全局值时。
低风险
如果组织强制实施最少两分钟的到期窗口，并使用唯一的受众标识符来确保令牌以加密方式绑定到单个经过验证的客户端。
业务和集成注意事项
实施限制性 ID 令牌策略通过最大限度地减少不必要的用户数据的传输来确保遵守数据隐私条例，尽管这需要消耗应用程序支持频繁的令牌刷新周期。
建议的补救措施
转到连接的应用程序的 OAuth 策略，将 ID 令牌有效性设置为两分钟，定义 ID 令牌受众，并仅选择必要的标准和自定义声明。
安全健康审查指导
安全健康审查将使用生命周期短、声明受限的 ID 令牌确定为强烈建议的标准，以最大限度地减少凭据滥用的机会窗口，并防止泄露持久的用户元数据。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
