允许从托管服务身份到Azure功能的无密钥授权

Question

想象一下我有：

公开http终结点（ api1 ）的Azure函数（ func ）
一个天青应用服务（ 服务1），其具有管理服务标识配置（MSI1）

我想以一种方式配置所有内容，以便service1可以向api1发出HTTP请求，而api1知道该请求来自msi1 。 此外，我希望能够在Azure门户中配置service1以允许或禁止访问api1 。

基本上，我想配置哪些应用程序服务可以在Azure门户中尽可能访问哪些功能（反之亦然），而不必在应用程序设置中创建和管理API令牌或键。

我想强调一下，这是服务到服务-service1不会从其用户请求任何登录信息。

我相信这应该可行，但是我所遇到的大多数文档都描述了用户通过Microsoft / Facebook / Google / Whatever登录并以这种方式获取访问令牌的情况。 我知道我可以在应用程序注册中使用客户端凭据来创建有效的承载令牌； 但这不是必需的，因为service1在msi1的安全上下文下执行 。

Answer 1

正如juunas所说，您可以参考他的文章 ，使用托管身份从应用程序服务中保护Azure功能。

在AAD中将api1注册为应用程序，并使用powershell将权限分配给service1 MSI。 在Portal上似乎不支持向MSI分配权限，因此您可以使用powershell进行分配。 这是一个类似的线程 ，可以为您指定MSI权限。