Scopet ja claimit

Scope → claimit

Scope	ID token -claimit	userinfo / access token
`openid`	`sub`, `iss`, `aud`, `iat`, `exp`, `auth_time`, `nonce`, `sid`, `amr`, `at_hash`	Aina läsnä (pakollinen scope)
`email`	`email`, `email_verified`	`email`, `email_verified`
`profile`	`name`	`name`, `picture` (jos profiilikuva asetettu)
`phone`	`phone_number`, `phone_number_verified`	Samat
`offline_access`	—	Myöntää `refresh_token`-vastauskentän (vain jos clientille sallittu `refresh_token`-grant)
`orgs`	`orgs[]` — `{id, name, role, roles?, groups?}`	`orgs[]`
`groups`	`groups[]` — litteät `"org:{id}:{role}"`-merkkijonot	`groups[]`
`roles`	`roles[]` — globaalit tenantin määrittelemät roolit	`roles[]`

Scope-sarakkeen claimit puuttuvat tokenista kokonaan, jos vastaavaa scopea ei pyydetty (eivät esiinny tyhjänä tai null-arvoina).

Claim	Tyyppi	Lähde
`iss`	string	Tenantin issuer-URL
`sub`	string	Käyttäjän UUID (tai client_credentials-grantissa clientin `client_id`)
`aud`	string	Pyytäneen clientin `client_id` (ID token) tai issuer (access token)
`iat` / `exp`	number (Unix-aika)	Myöntö-/vanhenemishetki
`auth_time`	number (Unix-aika)	Alkuperäisen todennuksen hetki — säilyy SSO:n yli
`nonce`	string	Kopio authorize-pyynnön `nonce`-parametrista
`sid`	string	Sessiotunniste, backchannel-uloskirjautumisen korrelointiin
`amr`	string[]	Todennustapa: `["otp"]`, `["otp","mfa"]`, `["hwk","user","mfa"]`, tai puuttuu (federoitu kirjautuminen)
`at_hash`	string	Access tokenin SHA-256-tiivisteen vasen puolisko, base64url
`email`	string	`users.email`
`email_verified`	boolean	Aina `true` kun `email`-scope myönnetty ja sähköposti asetettu — ei lue erillistä vahvistustilaa
`name`	string	Käyttäjäprofiili (puuttuu jos ei asetettu)
`picture`	string	Käyttäjäprofiilin kuva-URL (puuttuu jos ei asetettu)
`phone_number`	string	E.164-muodossa
`phone_number_verified`	boolean	`true` kun puhelin OTP-vahvistettu
`roles`	string[]	Tenantin määrittelemät globaalit mukautetut roolit
`orgs`	array	Organisaatiojäsenyydet, kiinteä rooli + valinnaiset mukautetut roolit/ryhmät
`groups`	string[]	Litteä org-ryhmäjäsenyyslista
`scope`	string (vain access token)	Myönnetyt scopet välilyönnillä eroteltuna
`client_id`	string (vain access token)	Pyytänyt OAuth-client

acr (assurance-taso) ei ole toteutettu millekään kirjautumistavalle eikä siis koskaan esiinny tokenissa.

Täysi esimerkki dekoodatusta tokenista ja amr-arvojen selitykset kirjautumistavoittain: Tokenit ja claimit.