Azure API 管理 + Azure Function 和托管标识

Question

我尝试使用托管标识从 API 管理实例调用 Azure 函数。我已将系统管理身份设置为我的 APIM 实例。我已在 Azure Function App 上向此身份授予贡献者角色。我还将应用服务身份验证更改为 AD。

现在我尝试从 API 调用该函数。

我有两个问题:

1. 第一个:当我使用身份验证管理身份策略获取 token 时，在使用受众 https://myfunctionapp.azurewebsites.net 时出现错误。 AD 告诉我此应用未在租户中注册
2. 第二:如果我检索 https://management.azure.com 的 token ，我获得了 token ，但收到了来自 Azure Function 的 401 未经授权错误。

也许我只是想在错误的受众上获取 token ，但不幸的是文档中没有列出函数的受众(例如，对于服务总线，有一个通用的 URI 可供使用，也适用于 KeyVault、. ..).

我想我可能错过了图片中的一些东西......谢谢。

Answer 1

您需要使用 authentication-driven-identity 策略，通过 API 管理服务的托管身份向后端服务进行身份验证。

https://learn.microsoft.com/en-us/azure/api-management/api-management-authentication-policies#ManagedIdentity

编辑

1-在 Azure AD 上的 APIM 应用程序中，获取为企业应用程序分配的应用程序 ID。

2-然后转到 Azure Function App 中的“平台功能”，然后单击“身份验证/授权”。

3-选择Azure Active Directory作为身份验证提供程序，管理模式“express”。

4-返回身份验证管理身份策略，将步骤 1 中的应用程序 ID 设置为资源。