通过Azure API管理网关从AAD获取JWT令牌

Question

我在Azure（Web App）中托管了一个API。每个客户端都无法访问此API目录（IP限制），我愿意使用APIM来保护它。

用户将调用APIM网关，网关应做出适当响应。

一个大问题是身份验证：我正在用AAD保护这个API（后端API而不是APIM网关endpoint）。因此，用户应该根据AAD对自己进行身份验证，并在不直接访问后端的情况下访问资源。

有没有可能实现这样的场景？

Answer 1

在我最近的项目中，我使用了以下方法，并使用jwt验证验证了policy Follow Microsoft document link中的oauth2令牌https://docs.microsoft.com/en-us/azure/api-management/api-management-howto-protect-backend-with-aad.

以下是步骤的快速概述：

1. 在Azure AD中注册一个应用程序（backend-app）以表示API。
2. 在Azure AD中注册另一个应用程序（client-app）以表示需要调用API的客户端应用程序。
3. 在Azure AD中，授予权限以允许客户端应用调用后端应用。
4. 配置Developer Console以使用OAuth 2.0用户授权调用API。（可选）
5. 添加validate-jwt策略以验证每个传入请求的OAuth令牌。

Answer 2

如果您不介意用户针对AAD进行身份验证，那么它是完全受支持的。使用该模型，APIM可用于将用户请求传递到后端，或者您可以在请求处理管道中的某个位置使用validate-jwt策略来验证用户的令牌并授权调用的操作。

APIM的授权服务器功能可用于记录您的API需要来自特定服务器的AAD令牌。如果这样做了，开发人员门户上的测试控制台将显示一些控件，以简化获取令牌以对API进行测试调用的过程。

通常，APIM要求客户端传递订阅密钥来验证和授权调用。但如果您依赖的AAD可能不是您想要的，那么您可以使用Open product向APIM匿名拨打电话。验证jwt策略仍然可以用于要求某些令牌与请求一起出现。

有多种方法可以确保只有通过APIM才能访问后端：

1. 共享秘密-在APIM策略中设置一个特殊标头并在后端检查它的值。
2. 客户端证书身份验证-可以设置APIM将客户端证书附加到您将在后端检查的每个后端请求，以确保这是APIM正在进行调用。
3. VNET-APIM可以加入您的VNET，而后端可能设置为仅在VNET中接受调用，从而可以仅通过APIM调用。