Oi Danilo, tudo bem?

• ValidIssuer é o emissor do token.
• Audience é o receptor do token.

Portanto, se uma aplicação web no endereço http://localhost:5000/ cria um token, e esse token serve para autenticar um serviço no endereço http://localhost:5001/, então ValidIssuer é http://localhost:5000/ e Audience é http://localhost:5001/.

No exemplo feito no curso, utilizamos o ValidIssuer = "Alura.WebApp" e o ValidAudience = "Postman".

A minha dúvida é: em todas as aplicações que forem consumir a API, devemos passar os mesmos valores para tanto para o ValidIssuer quanto para o ValidAudience, certo? No exemplo citado, estamos consumindo apenas via Postman, mas e em caso de serem várias aplicações, quais as melhores práticas para o ValidIssuer e ValidAudience?

Marcelo, tudo bem e você?

E para um caso onde eu não sei quem está consumindo minha API, por exemplo uma API pública, o que deve ser colocado no Audience?

Fala, Danilo, tudo certo?

Quando existe uma API pública que vai gerar tokens para consumidores diversos é disponibilizada uma funcionalidade para que se cadastre o consumidor e desse cadastro é gerado um Audience. Nunca desenvolvi uma API pública, mas já consumi várias e precisei me cadastrar indicando o nome da aplicação que iria consumí-la.

Espero que tenha ajudado.