如何在APIM中用托管身份认证函数应用（含两类身份配置步骤）

一、系统托管身份认证配置步骤 #

系统托管身份由Azure自动管理，无需手动创建，适合简单场景：

• 1. 给APIM启用系统托管身份
     打开Azure门户，找到你的APIM实例，左侧菜单点「身份」，切换到「系统分配」标签，把状态改成「开启」，点击「保存」完成启用。
• 2. 给APIM的系统身份分配函数应用权限
     打开目标函数应用，左侧菜单选「访问控制(IAM)」，点击「添加」→「添加角色分配」：
  • 角色选「函数应用调用者」（若需管理权限可选「函数应用参与者」，按需选择最小权限即可）；
  • 分配对象选「托管身份」→「系统分配的托管身份」，选中你的APIM实例，最后点「保存」。
• 3. 配置APIM后端的托管身份认证
     进入APIM里的目标API，切换到「设计」标签，找到对应的后端（未添加后端的话，先添加类型为「Azure函数」的后端）：
  • 在后端的「认证」设置里，选择「托管身份」；
  • 身份类型选「系统分配」；
  • 资源栏填写函数应用的应用ID URI（可在函数应用的「概述」页面找到，格式一般是https://<函数应用名称>.azurewebsites.net，或对应的企业应用ID）；
  • 保存配置后，测试API调用，确认认证正常生效。

二、用户托管身份认证配置步骤 #

用户托管身份是独立的可复用身份资源，适合多服务共享身份的复杂场景：

• 1. 创建用户托管身份
     在Azure门户搜索「托管身份」，点击「创建」：
  • 选择对应订阅、资源组，填写身份名称和部署区域；
  • 点击「查看+创建」，确认信息后完成创建。
• 2. 给用户托管身份分配函数应用权限
     打开目标函数应用，左侧菜单选「访问控制(IAM)」，点击「添加」→「添加角色分配」：
  • 角色选「函数应用调用者」（按需选择最小权限）；
  • 分配对象选「托管身份」→「用户分配的托管身份」，选中刚创建的托管身份，点击「保存」。
• 3. 给APIM关联用户托管身份
     回到你的APIM实例，左侧菜单点「身份」，切换到「用户分配」标签：
  • 点击「添加」，选择刚创建的用户托管身份，点击「添加」后保存配置。
• 4. 配置APIM后端的用户托管身份认证
     进入APIM里的目标API，切换到「设计」标签，找到对应的后端：
  • 在「认证」设置里选择「托管身份」；
  • 身份类型选「用户分配」，选中关联的用户托管身份；
  • 资源栏填写函数应用的应用ID URI；
  • 保存配置后，测试API调用验证认证效果。

内容的提问来源于stack exchange，提问作者Lakshmi