Azure AD中的SAML2令牌簽名

Question

要設置一點上下文，我們使用Azure AD SAML2 support使用Office365憑據登錄到我們的站點。

讀metadatas文檔，我有2個問題：

This document狀態：

阿由天青AD出版聯合元數據文件可以具有多個簽名密鑰，例如當天青AD正準備更新爲簽字證書。當聯合元數據文檔包含多個證書時，驗證令牌的服務應支持文檔中的所有證書。

這是否意味着SAML2身份驗證令牌響應簽名必須針對所有列出的證書進行檢查，並且如果它們中的任何一個匹配，則認爲該簽名有效？

This document狀態：

本主題討論，你需要知道有關在Azure的AD用於簽署安全令牌的公共密鑰是什麼。重要的是要注意，這些密鑰在6周的時間表上滾動。在緊急情況下，鑰匙可能會比6周更早更換。所有使用Azure AD的應用程序都應該能夠以編程方式處理密鑰翻轉過程。

這個6周更新計劃是否關注SAML2令牌簽名？如果是這樣，爲什麼元數據中列出的證書的有效期更長？

Answer 1

沒有必要針對所有密鑰驗證簽名，但是如果您這樣做並且簽名有效，那麼它應該被認爲是有效的。

您可以使用ds：KeyInfo內部的ds：Signature來確定要確定使用的密鑰。