在web app中对用户进行身份验证时，向azure功能验证用户

Question

我有一个ASP。NET MVC Web应用程序在Azure应用程序服务中作为Web应用程序运行。此web应用程序通过HttpClient从控制器调用Azure函数。使用Azure Active Directory在web应用中配置身份验证/授权。我需要在调用Azure函数时对用户进行身份验证，以便我可以访问用户声明。我还试图在Azure功能本身中配置身份验证，但每当我从web应用调用该功能时，这都会导致“未经授权的响应”。是否有办法使web应用程序和Azure功能使用相同的Active Directory身份验证。因此，当用户通过web应用程序身份验证时，他不需要在Azure函数中再次进行身份验证，并且所有用户声明都可以在函数本身中使用？

Answer 1

我可以想出三种不同的方法。

使用无记名令牌。

创建两个单独的应用程序注册，一个用于Web应用程序，一个用于函数应用程序。为各自的应用程序设置身份验证/授权功能，两者都配置为需要AAD访问。授予Web应用程序的AAD应用程序注册权限以访问函数应用程序的AAD应用程序注册。

为了确保web应用程序的访问令牌是可用于联系函数应用程序的JWT，您需要向web应用程序添加其他登录参数。要执行此操作，请按照此处的说明操作，但应将“AdditionalLoginParms”设置为“resource”=

当用户向Web应用程序发出经过身份验证的请求时，应填充一个名为X-MS-TOKEN-AAD-ACCESS-TOKEN的标头，该标头应是具有Function应用程序应用程序注册受众的访问令牌。然后，这可以用作Function应用程序API调用的承载令牌，它应该满足函数应用程序的身份验证/授权要求。

使用代表流

创建两个单独的应用程序注册，一个用于Web应用程序，一个用于函数应用程序。为各自的应用程序设置身份验证/授权功能，两者都配置为需要AAD访问。授予Web应用程序的AAD应用程序注册权限以访问函数应用程序的AAD应用程序注册。

然后，遵循代表流，以便web应用程序可以为功能应用程序的经过身份验证的用户用户获取访问令牌。有几个库可以帮助实现此流。如果您的应用注册是AAD V1应用，请参阅ADAL；如果您的应用注册是AAD V2应用，请参阅MSAL。

使用客户端定向流（X-ZUMO-AUTH）

创建两个单独的应用程序注册，一个用于Web应用程序，一个用于函数应用程序。为各自的应用程序设置身份验证/授权功能，两者都配置为需要AAD访问。授予Web应用程序的AAD应用程序注册权限以访问函数应用程序的AAD应用程序注册。

要确保Web应用程序的访问令牌可用于针对函数应用程序进行身份验证，您需要向Web应用程序添加其他登录参数。为此，请按照此处的说明操作，但将addtionalLoginParams设置为资源=

当用户向Web应用程序发出经过身份验证的请求时，应填充一个名为X-MS-TOKEN-AAD-ACCESS-TOKEN的标头，该标头应是具有Function应用程序应用程序注册受众的访问令牌，以及标头X-MS-TOKEN-AAD-ID-TOKEN中的id令牌。向https：//发出POST请求。azurewebsites.net/.auth/login/aad有效负载
{"id_token"：

注意：此选项中的声明将是身份验证令牌的声明，而不是像前两个选项中那样的身份提供者的声明。要获得与其他选项相同的声明，请将应用程序设置“Web站点\u AUTH\u ZUMO\u USE\u TOKEN\u STORE\u声明”设置为“true”。