通过APIM调用Logic App时出现401错误的原因排查

我需要实现一个从Blob Storage读取文件并返回的Logic App，计划部署在APIM之后。已创建两个无状态Logic App（标准模式和消耗模式），均未设置认证，直接通过浏览器/工作站调用可正常返回文件，无需凭证。

创建APIM后，尝试接入消耗型Logic App（APIM中可见），同时手动添加标准模式Logic App，但测试APIM调用时均触发401错误。已将API调用设置为无需订阅，但问题仍未解决。测试APIM自带的ECHO API的GET方法正常，复制其配置并替换为我的Logic App端点后，仍出现401错误。

为排查问题，创建了一个仅返回“Success”的标准模式Logic App，可直接通过浏览器访问，但在APIM中创建手动HTTP类型API并接入该端点后，测试仍返回401错误，即使分配产品并取消订阅要求也无效。

请问为何直接调用无认证的Logic App正常，但通过APIM调用会出现401错误？

1. APIM默认传递订阅密钥头 #

即使你在APIM中设置了API无需订阅，APIM仍可能自动在请求头中添加Ocp-Apim-Subscription-Key字段。Logic App的后端安全机制可能会因为这个未预期的头字段拒绝请求。

解决步骤：

• 进入APIM对应API的“设计”页面，打开“策略编辑器”
• 在inbound区块中添加移除该头的规则：

  <set-header name="Ocp-Apim-Subscription-Key" exists-action="delete" />
  

2. Logic App的网络访问限制 #

Logic App可能设置了IP防火墙规则，或者标准模式Logic App启用了虚拟网络集成，导致APIM的出站IP被拦截。

解决步骤：

• 查看APIM资源的“概述”页面，复制所有出站IP地址
• 进入Logic App的“网络”设置：
  • 消耗模式：在“防火墙”中添加APIM的出站IP到允许列表
  • 标准模式：如果启用了虚拟网络集成，确保APIM的IP被加入子网允许列表，或者配置虚拟网络对等连接

3. APIM后端认证配置错误 #

手动添加Logic App时，APIM可能默认启用了托管身份认证，但Logic App未配置对应的权限，导致认证失败。

解决步骤：

• 进入APIM对应API的“设置”页面，确认“后端”区域的“认证类型”为无
• 检查API的入站策略，移除任何自动添加的authentication-managed-identity规则

4. Host头验证问题 #

标准模式Logic App可能默认验证请求的Host头是否匹配自身域名。通过APIM转发时，Host头会被替换为APIM的域名，导致验证失败。

解决步骤：

• 在APIM的入站策略中添加规则，将Host头替换为Logic App的原始域名：

  <set-header name="Host" exists-action="override">
      <value>your-logic-app-domain.azurewebsites.net</value>
  </set-header>
  

  替换your-logic-app-domain.azurewebsites.net为你的Logic App实际域名

内容的提问来源于stack exchange，提问作者TMatthews