带有JWT / WIF和对称密钥的Azure ACS

Question

我正在使用Azure ACS和我的MVC4客户端使用被动重定向。我已经配置Azure来发布JWT，我正在使用新的WIF JWT库来验证令牌。这一切都很好。

我遇到的问题是Azure使用X.509证书签署JWT，而不是Symmetric Key，这需要我的MVC应用程序拥有证书，这在目前很烦人。

我知道JWT支持是Beta版，并且使用对称密钥存在安全问题（任何拥有密钥的人都可以伪造令牌）。

我缺少一些设置吗？我尝试将证书作为Azure中的“辅助”签名密钥，但这没有任何效果。

Answer 1

ACS选择密钥以下列优先顺序对JWT进行签名：

1. 依赖方对称密钥
2. 依赖方证书
3. 服务范围的证书

您在此列表中的任何位置看不到的是对称服务密钥，因为在两个以上的实体之间使用对称密钥存在安全问题。

这意味着您的密钥需要与依赖方关联，而不是命名空间，如以下屏幕截图所示。