我们如何确保 API 仅服务于白名单客户？ Azure function 与 Web ZDB974238714CA8DE1434A7CE1DZF08A 之间的通信

Question

我正在使用以下设计来保护Azure Function和Web API之间的通信

• 第 1 步 - 从 AD 请求token
• 第 2 步 - 使用token请求web api

代码调用 API

   public static async Task<IActionResult> Run(HttpRequest req, ILogger log)
   {
     log.LogInformation("C# HTTP trigger function processed a request.");
     var endpoint = Environment.GetEnvironmentVariable("IDENTITY_ENDPOINT");
     var identity_header = Environment.GetEnvironmentVariable("IDENTITY_HEADER");
 
     var resource = "4df52c7e-3d6f-4865-a499-cebbb2f79d26"; //how to secure this ID
     var requestURL = endpoint + "?resource=" + resource + "&api-version=2019-08-01";

     HttpClient httpClient = new HttpClient();
     httpClient.DefaultRequestHeaders.Add("X-IDENTITY-HEADER", identity_header);
     HttpResponseMessage response = await httpClient.GetAsync(requestURL);
     response.EnsureSuccessStatusCode();

     string responseBody = await response.Content.ReadAsStringAsync();
     var access_token = JsonConvert.DeserializeObject<TokenResp>(responseBody).access_token;


     var APIURL = "https://frankapp.azurewebsites.net";
     HttpClient callAPI = new HttpClient();
     callAPI.DefaultRequestHeaders.Add("Authorization","Bearer "+ access_token);
     HttpResponseMessage APIResponse = await callAPI.GetAsync(APIURL);
     return new OkObjectResult(APIResponse.StatusCode);
   }

问题

该解决方案按计划工作，但是，我在这里看到了一个安全漏洞。 即any具有上述代码或resource id的azure function都可以调用这个API！！！

我该如何解决这个安全问题？ 如何使仅列出的 azure 函数调用 API？

Answer 1

有几种解决方案可以保护 API 应用程序，如评论中所述，您可以通过声明验证令牌，使用访问限制规则等。

从您的代码中，它使用 MSI（托管标识）获取 API 应用程序的 AD 应用程序的令牌，然后使用该令牌调用 API。 在这种情况下，我建议您使用User assignment required设置来限制 API App 的访问权限，执行以下步骤后，只需 function 的 MSI 即可获取 ZDB974238714CA8DE634A7CE1D08 App 的令牌，无需执行任何其他操作。

1.在门户中的Azure Active Directory中导航到 API App 的 AD App -> 单击Managed application in local directory -> 属性 -> 将User assignment required设置为Yes 。

2. 在AAD中创建一个安全组，并将MSI服务主体添加为成员，然后将该组添加到Users and groups ，然后MSI也可以调用function。（对于用户，可以是直接添加，MSI不一样，需要使用这种嵌套方式，或者利用App角色）

经过以上步骤，只需添加到Users and groups的MSI就可以成功获取token并调用API，有两个类似的问题我已经回答过， here和here 。 在这两篇文章中，他们想要保护 function 应用程序，在您的情况下，这是相同的逻辑。

Answer 2

使用 AAD 的 Azure Function 和 API 应用程序之间的安全性可以通过多种方式完成：

1. 访问令牌中的声明
2. 将托管 azure function 的所有 IP 范围列入白名单，拒绝其他范围。
3. AAD 中的用户和组策略作为安全组。
4. 将 App 服务和 AF 放在一个 VNET 中（尽管这限制了多区域）
5. Object 身份验证

阅读更多： https://www.tech-findings.com/2020/01/securing-function-app-with-azure-active-directory.html