使用MSAL保护Azure函数API

Question

我有Azure Functions，我想使用访问令牌对其进行身份验证。

我已经安排好了以下事情

1. Angular SPA正在使用Azure应用程序对用户进行身份验证
2. 用于调用图形API的访问令牌，权限在Azure应用程序中设置（第1点）
3. Azure函数具有SPA正在使用的超文本传输协议触发器（API）

目前，API是匿名的，可以从任何地方调用。我想使用图形api使用的访问令牌来保护这些api（第2点）

我认为对我来说最好的方法是AAD多租户身份验证。然而，当我点击“Authentication（classic）”时，它会告诉我该应用程序是使用新的身份验证体验配置的。单击此处访问身份验证（预览）

此外，如果我使用以下选项保持身份验证，我会得到“您没有查看此目录或页面的权限。”错误

我在网上找到的大多数文章都是关于AAD的。对我来说，该选项未启用。

我试图以下的文章，使它的工作，但不知何故，它没有发生。

https://medium.com/medialesson/protecting-azure-function-apps-with-azure-ad-authentication-authorization-fd167ce4fe33

https://medium.com/geekculture/easyauth-in-functions-app-with-azure-active-directory-29c01cad8477

在我现有的Azure应用程序中是否需要执行某些操作才能使其正常工作？

Answer 1

据我所知，您的Azure功能受AAD使用身份验证（Easy auth）的保护。现在，您的angular SPA希望访问此功能。请遵循以下步骤：

1. 转到Azure AD=

单击“授予管理员同意”按钮以完成该过程。

不使用此访问令牌

更新

基本上，您的应用程序请求图如下所示：

SPA（带有访问令牌的请求）==

现在，我们已经完成了步骤1和2：获取easy auth的访问令牌，并将easy auth传递到Azure函数代码逻辑中。

所以在Azure函数代码逻辑中，我们需要做两件事：

1. 获取请求标头中的访问令牌
2. 使用访问令牌和OBO流为Microsoft Graph API交换新的访问令牌。请参阅下面的请求以使用OBO流为Microsoft Graph API交换访问令牌：

顺便说一句，请确保您的Azure function应用程序已被授予用户权限。阅读日历。阅读：