Pour différencier les jetons d'accès et les jetons ID dans les applications Azure Logic, vous devez comprendre leurs objectifs et leur utilisation:
1. Objectif et utilisation:
- Tokens d'accès: ceux-ci sont utilisés pour l'autorisation, permettant l'accès à des ressources ou des API spécifiques. Ils contiennent des autorisations et des lunettes qui définissent quelles actions peuvent être effectuées sur ces ressources. Les jetons d'accès sont généralement de courte durée et peuvent être rafraîchis à l'aide de jetons de rafraîchissement [1] [2] [3].
- Tokens ID: ceux-ci sont utilisés pour l'authentification, fournissant des informations sur l'identité de l'utilisateur. Ils contiennent des réclamations telles que le nom d'utilisateur, les e-mails et d'autres détails d'identification. Les jetons ID sont souvent utilisés dans les applications client pour vérifier l'identité de l'utilisateur et ne sont pas censés être envoyés aux API pour l'accès aux ressources [1] [2] [5].
2. Validation et consommation:
- Tokens d'accès: ceux-ci sont validés par les API pour s'assurer que le porteur a les autorisations nécessaires pour accéder aux ressources. Ils sont envoyés entre les API pour faciliter l'accès aux données [1] [2].
- Tokens ID: ceux-ci sont validés par les applications client pour confirmer l'identité de l'utilisateur. Ils ne sont pas envoyés aux API pour l'accès aux ressources mais sont utilisés dans l'application client elle-même [1] [5].
3. Émission et rafraîchissement:
- Tokens d'accès: émis par un serveur d'autorisation, ils peuvent être actualisés à l'aide de jetons d'actualisation pour étendre l'accès sans nécessiter d'interaction utilisateur [1] [2].
- Tokens ID: Également émis par un serveur d'autorisation, les jetons d'ID ne sont pas directement rafraîchissables mais peuvent être obtenus à nouveau lorsqu'un jeton d'accès est actualisé [3].
Dans Azure Logic Apps, lors de l'intégration avec Azure AD B2C ou d'autres systèmes d'authentification, vous utiliseriez généralement des jetons d'accès pour authentifier les appels API et les jetons ID pour gérer les sessions utilisateur dans votre logique d'application [4] [6].
Pour gérer ces jetons dans les applications logiques, vous les extrairez et les valideriez généralement des en-têtes HTTP ou des charges utiles, en vous assurant que les jetons d'accès sont utilisés pour les appels API et que les jetons ID sont utilisés pour l'authentification des utilisateurs dans votre application Logic [6].
Citations:
[1] https://www.descope.com/blog/post/id-Token-vs-access-Token
[2] https://learn.microsoft.com/en-us/azure/active-directory-b2c/tokens-verview
[3] https://www.youtube.com/watch?v=0k9zj-zqrwm
[4] https://learn.microsoft.com/en-us/azure/logic-apps/authenticiate-with-manged-identity
[5] https://oauth.net/id-tokens-vs-access-tokens/
[6] https://docs.azure.cn/en-us/logic-apps/logic-apps-constom-api-authentication
[7] https://auth0.com/blog/id-token-access-token-what-is-the-difference/
[8] https://community.auth0.com/t/id-token-and-access-token-what-is-the-difference/70028