Azure API 管理 - 身份验证：OAuth2 与证书

Question

我想了解您的实施情况。 预先感谢您的任何建议:)

**设想**
我有一组 API。 它们可通过 REST 访问并受 OAuth2 保护。 我还有一个需要访问它们的机器列表。 问题在机器方面，访问它们的最佳解决方案是什么？ 我应该实施客户端证书身份验证还是 OAuth2 是合适的解决方案？

**我的疑惑：**

• 在成百上千台机器的情况下，证书管理变得过于复杂/成本高昂？
  
• 我应该为每台机器使用一个证书还是一个以上的证书？
• 如何将证书巧妙地部署到每台机器上？

我喜欢拥有相互身份验证的想法，但与 OAuth 结构相比，我担心维护起来很繁重。 我计划使用 Microsoft Azure 作为云服务。
谢谢！

Answer 1

我想说这里的重要因素是客户身份和特权：

• 你可能有很多客户端机器
• 但是它们是否代表一个单一的身份，例如一个集群？
• 他们都拥有同样的特权吗？

默认情况下，我的目标是所有具有相同权限的客户端机器都提供相同的凭据/身份的解决方案。 然后，API 可以根据访问令牌中提供的客户端身份对请求进行授权。

标准的 OAuth 解决方案是客户端凭据流，其中客户端每个都向服务器发送一个秘密。

如果需要（并由您的授权服务器支持），您可以通过客户端断言配置文件使用相互 TLS 形式的客户端凭据。 这通常归结为客户端发送的私钥签名，该签名包含在授权服务器上配置的白名单中。