Entra ID token

Azure infra 상에서 동작되는 app에서 azure infra의 resource를 사용하거나 접근해야할 경우 token 기반으로 접근이 이루어지는 경우들이 있다. 해당 token은 Entra ID에서 발급받고 관리되어진다. 이와 같은 경우 token에 대한 이해가 없다면 동작방식을 이해하는데 어려움이 따를수 있다.

Tokens

제공되는 token의 종류는 총 3가지로 아래와 같다.

1. Access Token : Oauth2 용(즉, 허가용)
2. Refresh Token : Access Token 재발급을 위한 token
3. ID token : OIDC 용 (즉, 인증용)

https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens

Token configuration

• Access token lifecycle : 기본으로 60 ~ 90 min (https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens#token-lifetime)
• Refresh token lifecycle :
  • 사용할때마다 갱신 되며 최대는 90 days (https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes#refresh-and-session-token-lifetime-policy-properties)
  • access token을 1시간마다 재발급 받는 과정에서 refresh token도 새로 발급됨 : https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens#token-lifetime

Refresh token expire time은 지정불가
https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens#token-timeouts

default token revocation 기간

• https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens#token-revocation

2021-01-30 이후로 default로만 제공되며 이전에는 refresh token 설정이 가능했다.
현재는 conditional access 정책으로 관리하도록 한다.
https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes#refresh-and-session-token-lifetime-policy-properties

다음과 같은 conditional access 정책에 따라 인증을 해제할수 있다.

• https://learn.microsoft.com/en-us/entra/identity/conditional-access/howto-conditional-access-session-lifetime

Refresh Token Expire

• 최대 수명 : 90일
  (Refresh Token이 rotation을 계속 하더라도 90일 이후에는 재로그인이 필요)
• idle Timeout : 14일
  (Refresh Token 사용 안하고 14일 지나면 expire)
  • 여기서 사용을 안한다는 의미는 cli나 sdk 등을 통한 인증과정이 한번이라도 포함된 명령 수행이 없는 경우를 의미해.

Refresh token이 만료되지 않은 경우 cli/sdk 등을 통한 인증과정을 같이 수행하는 명령이 수행되어지는 경우
Access Token이 만료되어 있다면 재발급이 이루어진다. 즉, CLI / SDK / Application 이 idle 상태로 인증을 수행하는 과정이 없는 경우라면 재발급이 발생되지 않는다.

Refresh tokens replace themselves with a fresh token upon every use
https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens#token-lifetime

References

• https://www.cswrld.com/2024/06/microsoft-entra-id-token-lifetime-and-revocation/