在Azure API管理Oauth2服务中指定访问群体参数

Question

我正试图在Azure API管理中设置Oauth2身份验证服务，以便在开发者门户中的Auth0身份提供程序中对用户进行身份验证<但是，我无法配置Oauth2服务来传递audience参数以获取JWT令牌（现在只返回不透明令牌）。

我在Azure门户中创建了一个新的Oath2服务，在“附加身体参数”部分指定了受众：

接下来，我将Oath2服务添加到API中：

接下来，当我尝试在开发者门户中测试API时，我只得到一个不透明令牌：

我希望在“附加参数”一节中指定时会包括观众，但这似乎不起作用<所以我想知道是不是我做错了什么。

Answer 1

我们对此问题的解决方案是在Auth0的“设置”下设置“默认观众”：

这样，当请求中没有提供受众时，Auth0将使用默认受众作为后备。

Answer 2

您可以配置jwt验证器策略以使用引用/不透明令牌。

政策声明

<inbound>
  <!-- Extract Token from Authorization header parameter -->
  <set-variable name="token" value="@(context.Request.Headers.GetValueOrDefault("Authorization","scheme param").Split(' ').Last())" />

  <!-- Send request to Token Server to validate token (see RFC 7662) -->
  <send-request mode="new" response-variable-name="tokenstate" timeout="20" ignore-error="true">
    <set-url>https://microsoft-apiappec990ad4c76641c6aea22f566efc5a4e.azurewebsites.net/introspection</set-url>
    <set-method>POST</set-method>
    <set-header name="Authorization" exists-action="override">
      <value>basic dXNlcm5hbWU6cGFzc3dvcmQ=</value>
    </set-header>
    <set-header name="Content-Type" exists-action="override">
      <value>application/x-www-form-urlencoded</value>
    </set-header>
    <set-body>@($"token={(string)context.Variables["token"]}")</set-body>
  </send-request>

  <choose>
        <!-- Check active property in response -->
        <when condition="@((bool)((IResponse)context.Variables["tokenstate"]).Body.As<JObject>()["active"] == false)">
            <!-- Return 401 Unauthorized with http-problem payload -->
            <return-response>
                <set-status code="401" reason="Unauthorized" />
                <set-header name="WWW-Authenticate" exists-action="override">
                    <value>Bearer error="invalid_token"</value>
                </set-header>
            </return-response>
        </when>
    </choose>
  <base />
</inbound>

您可以在https://jwt.io/解码令牌，并使用入站部分中使用的validate-jwt策略重新验证它：例如：

解码令牌有效负载中的Audience应与validate-jwt策略的声明部分匹配：

您可以参考Jwt验证策略中的open GitHub issue with reference Token？，使用授权服务器验证引用令牌，使用Azure AD使用OAuth2验证Azure API管理，并在APIM中使用OAuth2.0保护API