Azure通過Azure AD調用內部服務（SharePoint，SQL）保護WebAPI

Question

我經歷過Kirk Evans的這個優秀系列：

http://blogs.msdn.com/b/kaevans/archive/2015/03/27/the-api-economy-consuming-our-web-api-from-a-single-page-app.aspx

但我需要更進一步。 我需要在文章中繪制相同的架構： http ： //blogs.msdn.com/cfs-filesystemfile.ashx/__key/communityserver-blogs-components-weblogfiles/00-00-00-25-31-metablogapi/4064。 image_5F00_6A334CB5.png

但是現在，Azure中的自定義WebAPI需要在On Premises基礎結構中調用另一個API，考慮到這一點，API需要從“內部”代表用戶獲取信息（當然還有其他來源，如SQL Server）或其他內部服務）。

我假設兩個Active目錄（Azure AD和內部AD）是聯合的。

有關如何實現這一點的任何想法？

非常感謝。

Answer 1

如果它是一個網站，你需要像Kerberos約束委派，請參閱我的博客：

http://blogs.msdn.com/b/kaevans/archive/2015/04/13/azure-ad-application-proxy-and-sharepoint-2013.aspx

如果需要通過特定協議（例如與SQL Server的TDS連接）進行連接，則可以使用混合連接。

http://blogs.msdn.com/b/alimaz/archive/2014/07/31/connect-sharepoint-online-to-an-on-premises-sql-server-from-an-azure-provider-hosted- APP-使用雜交-connections.aspx

如果需要將Kerberos約束委派用於非HTTP協議，請參閱以下會話，其中演示了.NET中的幾行代碼以讀取傳入的聲明並模擬用戶。 需要您配置Kerberos約束委派，如上面的第一篇文章所示。

http://channel9.msdn.com/Events/TechEd/NorthAmerica/2014/OFC-B327#fbid=