ユーザーがロックアウトされている場合、Azure ADはアクセス/リフレッシュトークンを無効にしません

Question

ADALライブラリを使用してモバイルアプリでAzure ADを実装しています。 この場合、

ユーザーはアプリにログインし、有効なアクセストークンとリフレッシュトークンを持っています。ユーザーがログアウトしないと、別のアプリから - 例えばOutlookが、ユーザーがパスワードを間違って複数回入力すると、アカウントがロックアウトされます。投稿すると、アプリに戻り、アクセストークンとリフレッシュトークンが有効であり、ユーザーがセキュリティ違反であるすべての操作を実行できることがわかります。理想的には、ユーザーのアカウントがロックされている場合は、トークンを無効にしてトークンを更新する必要があります。これを正しく動作させるにはどうすればいいですか？

Answer 1

アクセストークン/リフレッシュトークンは、トークンの有効期限内に使用できます。 Webアプリケーションをログアウトし、トークンを取り消さないアカウントをブロックします。

現在、Azure Active Directoryは、アプリケーションがアクセス/リフレッシュトークンを取り消すためのエンドポイントをサポートしていません。

configurable token lifetimes in Azure Active Directoryについて詳しくは、トークンの有効期間に関するポリシーを確認し、要件に基づいて調整してください。