[Документация Yandex Cloud](../../../index.md) > [Yandex Identity and Access Management](../../index.md) > [Концепции](../index.md) > [Аутентификация](index.md) > ID-токен

# ID-токен сервисного аккаунта

{% note info %}

Создание ID-токенов для сервисных аккаунтов может быть запрещено [политиками авторизации](../access-control/access-policies.md) на уровне [каталога](../../../resource-manager/concepts/resources-hierarchy.md#folder), [облака](../../../resource-manager/concepts/resources-hierarchy.md#cloud) или [организации](../../../organization/concepts/organization.md).

{% endnote %}

[ID-токен](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) — специальный короткоживущий токен, выдаваемый [сервисному аккаунту](../users/service-accounts.md) и необходимый для аутентификации от имени этого сервисного аккаунта в сторонней системе, поддерживающей аутентификацию по стандарту [OIDC](https://openid.net/specs/openid-connect-core-1_0.html).

ID-токен создается на стороне Yandex Cloud и используется для обмена на токен доступа во внешней системе. Срок действия ID-токена составляет один час. Использовать ID-токен для аутентификации при обращении к [API Yandex Cloud](../../../api-design-guide/index.md) нельзя.

## Формат ID-токена {#token-format}

ID-токен представляет собой  [JSON Web Token](https://ru.wikipedia.org/wiki/JSON_Web_Token) (JWT) и состоит из трех частей, разделенных точкой: `<заголовок>.<тело>.<подпись>`.

**Заголовок** ID-токена содержит следующие атрибуты:

* `kid` — идентификатор публичного ключа подписи, который необходимо использовать для проверки подписи токена.
* `alg` — алгоритм подписи.

**Тело** ID-токена содержит следующие атрибуты:

* `iss` — URL OIDC-провайдера Yandex Cloud: `https://auth.cloud.yandex.ru`.
* `sub` — [идентификатор](../../operations/sa/get-id.md) сервисного аккаунта, передаваемый в параметре `subject-id` при создании ID-токена.
* `aud` — ресурс, для которого будет предназначен токен. Передается в параметре `audience` при создании ID-токена. Если при создании токена это значение не задано, по умолчанию подставляется значение идентификатора сервисного аккаунта, заданного в параметре `subject-id`.
* `exp` — срок действия ID-токена в формате [Unix Time](https://ru.wikipedia.org/wiki/Unix-время). Время жизни ID-токена с момента создания составляет один час.
* `iat` — время выпуска ID-токена в формате Unix Time.
* `jti` — уникальный идентификатор ID-токена, позволяющий не допустить его повторного использования.

**Подпись ID-токена** позволяет убедиться, что токен не был изменен. Проверять подпись необходимо с помощью публичного ключа, [получив](https://kz.auth.yandex.cloud/oauth/jwks/keys) его в Yandex Cloud по идентификатору, указанному в поле `kid` заголовка токена.

[Выдать](../../operations/sa/get-id-token.md) ID-токен сервисному аккаунту можно с помощью [Yandex Cloud CLI](../../../cli/index.md).