c# - Azure AD B2C 自定义策略，保护 API 连接器

Question

我正在将 Azure Active Directory B2C 与自定义策略和 API 连接器结合使用。我想保护 API (C# .NET 4.7.2) 中的特定端点，该端点将返回legacyUserId(用于将用户迁移到 Azure)。这不是最有值(value)的信息，但目标是确保端点不能被自由访问。我想从自定义策略和 postman 访问 API 进行测试。

<强> The official documentation 保护 API 连接器确实显示了在 Azure 端要做什么。但我不知道如何或在我的 API 中配置或添加什么。我也不确定哪种方法最能保护我的 API。 Although it seems like certificates are the most secure?

另外，我可以组合多种方法吗？例如，使用 API key 和客户端证书。但也许使用 API key 就足够了？

有什么建议吗？

Answer 1

据我所知，您只能在 Azure AD B2C 中使用一种身份验证方法(证书或基本身份验证)，而不能组合使用多种身份验证方法。不过，一种有效的身份验证方法也应该足够了。

选择哪种身份验证方法取决于您的安全要求。互联网上的许多 API 都可以通过基本身份验证或 API key 进行访问，而很少使用客户端证书，并且仅在 API 的潜在客户端非常有限的情况下使用(就像您的情况一样)。

另一个需要考虑的问题是到目前为止 API 的安全性如何。如果已经存在 API key 身份验证或更可能的基本身份验证实现，您可以使用它并减少必须在 API 端进行的更改量。如果当前的身份验证被证明是安全的，任何更改都会带来不必要的副作用的风险。

可以在 .NET Framework 4.x 的 ASP.NET Web API 中实现身份验证的文档 here 。基本身份验证在更大的detail中进行了描述。该实现还可以用作实现 API key 身份验证的起点，其中 API key 作为 header 或请求参数传输(后者可能最终出现在服务器上的日志文件中，因此 header 值是首选)。

需要注意的重要事项:API 应使用 HTTPS 托管，以便 header 或请求参数中传输的任何信息都经过加密。