Jetons d'accès

Découvrez les jetons d'accès qui sont générés par l'infrastructure de la sécurité, et comment configurer ces jetons.

Un jeton d'accès MobileFirst est une entité signée numériquement qui décrit les droits d'accès d'un client. Une fois la demande d'autorisation du client pour une portée spécifique acceptée et le client authentifié, le noeud final de jeton du serveur d'autorisations envoie au client une réponse HTTP contenant le jeton d'accès demandé. Pour en savoir plus sur le flux d'autorisation et le processus de génération de jetons, consultez Flux d'autorisation de bout en bout.

Remarque : Le jeton d'accès est signé avec le magasin de clés de MobileFirst Server. Pour la sécurité au niveau production, configurez le serveur en vue de l'utilisation de votre propre magasin de clés. Voir Configuration du magasin de clés de MobileFirst Server.

Structure du jeton d'accès MobileFirst

Le jeton d'accès MobileFirst contient les informations suivantes :

ID client - identificateur unique du client.
Portée - portée pour laquelle le jeton a été accordé (voir Portées OAuth). Elle n'inclut pas la portée d'application obligatoire (voir Configuration d'une portée d'application obligatoire).
Délai d'expiration du jeton - heure à laquelle le jeton n'est plus valide (arrive à expiration), en secondes. Voir Expiration du jeton.

Expiration du jeton

Le jeton d'accès accordé reste valide jusqu'à la fin du délai d'expiration. Le délai d'expiration du jeton d'accès est le délai d'expiration le plus court parmi les délais d'expiration des contrôles de sécurité dans la portée. Toutefois, si le délai jusqu'au délai d'expiration le plus court est plus long que le délai d'expiration du jeton maximal de l'application, le délai d'expiration du jeton a pour valeur le délai en cours plus le délai d'expiration maximal. Le délai d'expiration du jeton maximal (durée de validité) est de 3600 secondes (1 heure), mais vous pouvez le configurer en définissant la valeur de la propriété du descripteur d'application maxTokenExpiration. Voir Configuration du délai d'expiration de jeton d'accès maximal.