Federación con sujeto concreto

Reconocer al emisor no aprueba todos los trabajos que identifica.

Sigue la identidad entre sistemas

La federación de identidades de trabajo permite aceptar evidencia externa de identidad según una relación de confianza configurada. El token externo se intercambia por uno de acceso; el permiso para utilizar un recurso sigue siendo una decisión separada.

En una credencial federada estándar de Microsoft Entra, emisor, sujeto y audiencia deben coincidir con los valores configurados, incluidas mayúsculas y minúsculas. El emisor identifica la autoridad del token; el sujeto, el trabajo; y la audiencia, el destinatario previsto.

Compara los registros

F1: La identidad de producción confía en emisor BuildID, sujeto release-prod y audiencia ExchangeA. Las etiquetas representan valores completos exactos.

F2: Un token externo validado contiene BuildID, release-preview y ExchangeA. Supera las comprobaciones de firma y vigencia.

F3: El responsable aprueba solo el trabajo de producción. Ninguna otra regla federada acepta trabajos de previsualización.

Supón la configuración estándar de coincidencia exacta, sin reglas alternativas ni otra discrepancia. F2 incumple la condición del sujeto. Un emisor conocido y una audiencia correcta no hacen equivalente release-preview a release-prod.

Corresponde conservar el límite de producción e investigar por qué el trabajo de previsualización solicitó esa identidad. Ampliar la confianza solo para lograr el intercambio cambiaría el alcance aprobado en F3.

Escribe una comparación con dos coincidencias y una discrepancia, seguida del rechazo esperado. Para aceptar producción después, exige el sujeto previsto y las demás validaciones; luego evalúa por separado sus permisos sobre recursos. Intercambiar identidad con éxito no demostraría que toda acción de despliegue esté autorizada ni que el contenido compilado haya sido revisado.