Azure API 管理 + Azure 函数和托管标识

Question

我正在尝试使用托管标识从 API 管理实例调用 Azure 函数。 我已经为我的 APIM 实例设置了系统管理标识。 我已在 Azure Function App 上向此身份授予贡献者角色。 我还将应用服务身份验证更改为 AD。

现在我正在尝试从 API 调用该函数。

我有两个问题：

1. 第一个：当我使用身份验证管理身份策略获取令牌时，我在使用受众https://myfunctionapp.azurewebsites.net时出现错误。 AD 告诉我这个应用程序没有在租户中注册
2. 第二：如果我为https://management.azure.com检索令牌，我得到了一个令牌，但我收到了来自 Azure 函数的 401 Unauthorized 错误。

也许我只是想在错误的受众上获取令牌，但不幸的是，文档中没有列出函数的受众（例如，对于服务总线，有一个通用的 URI 可供使用，也用于 KeyVault，...） .

我想我可能错过了图片中的某些内容...谢谢。

Answer 1

您需要使用authentication-managed-identity策略通过 API 管理服务的托管身份向后端服务进行身份验证。

https://docs.microsoft.com/en-us/azure/api-management/api-management-authentication-policies#ManagedIdentity

编辑

1-在 Azure AD 上的 APIM 应用程序中，获取为企业应用程序分配的应用程序 ID。

2-然后转到 Azure Function App 中的平台功能，然后单击身份验证/授权。

3-选择Azure Active Directory作为身份验证提供者，管理模式为“express”。

4-返回到身份验证管理身份策略，将步骤 1 中的应用程序 ID 设置为资源。

Answer 2

您需要在 apim 所需资源中添加 url。 如果您打算使用委托流。 要检查问题是否与 url 注册有关，您可以改用 AppId。 这至少会告诉您是否可以检索令牌。