Azure APIM 到 azure 函数相互身份验证

Question

我创建了一个 HTTPTriggered azure 函数，并设置了 API 管理来调用该函数。证书验证策略在 APIM 中设置，当 APIM 将调用转发到 azure 函数时，将传递该函数的 API key 。

是否可以将客户端证书验证也从 APIM 放到函数应用程序中，而不仅仅是 API key ？

Answer 1

您需要将属性添加到函数应用资源定义中，如 described here用于启用客户端证书身份验证。然后，您需要在函数代码中进行自己的证书验证。

{
    "properties": {
        "clientCertEnabled": true
    }
}

检查此 header 以获取 Base64 编码的客户端证书:

X-ARR-ClientCert

这里需要注意的是，它可能不适用于消费计划，我没有抽出时间来测试它，如果它有效，请发表评论。

或者，您可以使用客户端凭据流(client_id 和 client_secret)从 Azure AD 获取承载 token ，并以这种方式调用该函数(启用 EasyAuth 才能正常工作) )。这里更大的警告还有一个问题，APIM 可以为您做这个流程吗？我不知道。

更新:

发现了一些东西here ，看起来可以使用出站策略并向 Azure AD 发出原始 POST 请求，这很好，since that's what that flow is really about .