アクセス トークン クレームのリファレンス

アクセス トークンは JSON Web トークン (JWT) です。 JWT には、次の要素が含まれます。

• ヘッダー - トークンの種類や署名方法の情報など、トークンの検証方法に関する情報を提供します。
• ペイロード - サービスを呼び出そうとしているユーザーまたはアプリケーションに関する重要なデータがすべて含まれています。
• 署名 - トークンの検証に使用される原材料です。

各部分はピリオド (.) で区切られ、Base64 で個別にエンコードされます。

クレームは、そこに入力される値が存在する場合にのみ存在します。 アプリケーションは要求の存在に依存することはできません。 例として、pwd_exp (すべてのテナントでパスワードを期限切れにする必要があるわけではありません) や、family_name (名前のないアプリケーションに代わって、クライアント資格情報フローが使用されます) などがあります。 アクセス トークンには、アクセス評価のための十分な要求が常に含まれます。

Microsoft ID プラットフォームでは、いくつかの要求を使用して、再利用のためにトークンをセキュリティで保護します。 Opaque の説明では、これらの要求は一般に公開されないものとして示されています。 これらのクレームはトークンに表示される場合とされない場合があり、新しいものが予告なく追加される場合もあります。

ヘッダーのクレーム

ペイロードのクレーム

グループ超過要求

Microsoft Entra ID では、グループ要求に含まれるオブジェクト ID の数が、HTTP ヘッダーのサイズ制限内に収まるように制限されます。 超過制限 (SAML トークンの場合は 150、JWT トークンの場合は 200) を超えるグループのメンバーにユーザーがなっている場合、Microsoft Entra ID は、グループ要求をトークンに出力しません。 代わりに、Microsoft Graph API に照会してユーザーのグループ メンバーシップを取得するようアプリケーションに指示する超過要求がトークンに追加されます。

{
    ...
    "_claim_names": {
        "groups": "src1"
    },
    "_claim_sources": {
        "src1": {
            "endpoint": "[Url to get this user's group membership from]"
        }   
    }
    ...
}

超過のシナリオは、App Creation Scripts フォルダーにある BulkCreateGroups.ps1 を使用してテストします。

v1.0 の基本要求

v1.0 トークンには、該当する場合は次の要求が含まれますが、v2.0 トークンには既定では含まれません。 v2.0 に対してこれらの要求を使用するために、アプリケーションの要求では省略可能な要求が使用されます。

amr 要求

ID は、アプリケーションに関連している可能性のあるさまざまな方法で認証できます。 amr 要求は、パスワードと Authenticator アプリの両方を使用した認証用に、複数の項目を格納できる配列 (["mfa", "rsa", "pwd"] など) です。

次のステップ

• Microsoft Entra ID で使われるアクセス トークンについて説明します。