Azure APIM调用Web App API授权失败：403/401错误权限配置求助

1. 修正authentication-managed-identity的资源参数 #

你当前使用的Web App认证标签UID是错误的，这个参数需要填写Web App对应Azure AD应用程序的客户端ID，或是Web App的受众值（格式为https://<你的Web App名称>.azurewebsites.net），而非Web App本身的资源UID。

修改后的策略示例：

<inbound>
    <authentication-managed-identity resource="https://your-web-app-name.azurewebsites.net" /> 
    <base />
    <set-backend-service id="apim-generated-policy" backend-id="xxxxxxxxxx" />
</inbound>

2. 配置Web App Azure AD认证的允许访问规则 #

因为移除认证策略后出现401，说明Web App已启用Azure AD认证，需确保APIM托管标识被授权访问：

• 进入Web App对应的Azure AD注册应用，在「API权限」页面点击「添加权限」→「我的API」，选中Web App的注册应用
• 根据API场景添加应用权限（适合服务间调用），完成后点击「授予管理员同意」
• 也可直接在Web App的「认证」面板中，确认托管标识所属租户被允许访问，并将APIM系统托管标识加入允许列表

3. 替换Contributor角色为针对性访问权限 #

Contributor是资源管理角色，用于Web App的运维操作（如重启、部署），并非API访问权限。需调整为：

• 若依赖Azure AD认证，完成上述API权限配置即可
• 若使用Web App访问限制，在「网络」→「访问限制」中添加规则：选择「允许」，目标设为「Azure资源」并选中APIM的系统托管标识，确保该规则优先级高于拒绝类规则

4. 验证令牌有效性 #

在APIM测试控制台的「跟踪」标签中，查看authentication-managed-identity步骤生成的令牌，用JWT解码工具验证：

• aud（受众）是否匹配Web App的受众值
• 令牌是否未过期、签发方iss是否正确

5. 排查Web App日志定位具体原因 #

若仍报403，查看Web App的「日志流」或「应用服务日志」，日志会明确拒绝原因（如令牌受众不匹配、权限缺失等），再针对性调整配置。

内容的提问来源于stack exchange，提问作者SimonK