authentication - 使用 Azure 托管服务标识和应用服务身份验证的服务到服务身份验证？

Question

我喜欢 MSI 带来的简单性，它是一种很棒的使用方式，例如来自 Web App 的 Key Vault，但我还没有完全弄清楚如何使用它来简化服务到服务的身份验证。应该可以吧？

对于 API 应用程序，我需要启用应用程序服务身份验证/授权。对于调用者服务，启用托管服务标识。我想这本身还不够(尽管它会很棒!)，但我可能需要使用 HttpClient 以某种方式转发凭据？有任何想法吗？或者使用 AAD 服务主体实现服务到服务身份验证的任何其他推荐(和简单)方法？

Answer 1

如果我没理解错的话，您想知道如何通过 MSI 访问受 Azure AD 保护的 API。

一般来说，一旦为您的 Azure 服务(即 Azure web 应用程序)启用了 MSI，将同时创建一个 AD 企业应用程序，此应用程序代表您的 Azure AD 中的 Azure 服务。

对于您要访问的 API，您应该创建一个应用程序角色并将该角色分配给代表启用了 MSI 的 Azure 服务的 AD 企业应用程序。完成所有过程后，您将能够通过以下代码获取访问 token 以访问所需的 API(此 C# 代码应在启用 MSI 的 Azure 服务上运行):

var azureServiceTokenProvider = new AzureServiceTokenProvider();
string apiToken = await azureServiceTokenProvider.GetAccessTokenAsync("<API resource URI or API App ID>");

有关更多详细信息，您可以引用此 blog .