azure - 保护 Azure Api 管理中的 WebApi 安全

Question

我已在 Azure 网站上部署了我的 webapi，并通过 Azure Api 管理门户公开它。我想阻止对 azurewebsites url 的访问，以便用户只能通过安全 key 通过 azure aoi 管理代理访问我的 api。您能解释一下如何做到这一点吗？我听说可以使用相互证书，但没有在网上找到任何描述创建此类证书和配置 Web api 以有效使用它们的过程的文章。我的第二个问题是，是否有一种机制可以根据用户名/密码和产品名称获取 Api 主键。关于保留 api 访问 key 的最佳方法是什么？客户端应用程序是否应该将其存储在某个配置文件中，并且应该在运行时以编程方式获取？

非常感谢

Answer 1

有多种方法可以保护您的后端:

1. 使用基本身份验证
2. 使用相互证书身份验证 https://azure.microsoft.com/en-us/documentation/articles/api-management-howto-mutual-certificates
3. IP 白名单。如果您有标准实例或高级实例，代理的 IP 地址将保持不变。
4. 使用 OAuth。可以在此处找到示例:https://channel9.msdn.com/Blogs/AzureApiMgmt/Protecting-Web-API-Backend-with-Azure-Active-Directory-and-API-Management希望有帮助。