Azure Frontdoor与APIM间配置mTLS可行性及实现方案咨询

方案可行性确认 #

Azure Front Door Premium完全支持与API管理（APIM）之间配置双向TLS（mTLS），这个方案是可行的。通过mTLS，你可以让APIM仅接受来自Front Door的请求，同时保持两端流量的加密传输，完美解决基础版APIM无VNET集成导致的公网暴露风险。

实现方法 #

Azure 门户操作步骤

1. Front Door端配置客户端证书
   • 进入你的Front Door Premium实例管理页，找到目标后端池（指向APIM的那个）。
   • 选中后端池里的APIM后端，开启「启用客户端证书」选项，选择存储在Azure Key Vault中的证书作为Front Door向APIM发起请求的客户端证书。
2. APIM端配置证书验证
   • 进入APIM实例管理页，可选择在「全局策略」（对所有API生效）或单个API的策略中添加验证规则：
     • 使用validate-client-certificate策略，指定仅接受Front Door客户端证书的指纹，或信任其证书颁发者。
     • 示例策略片段：

       <inbound>
         <validate-client-certificate thumbprint="FrontDoor客户端证书指纹" />
       </inbound>
       

   • 前往APIM的「自定义域名」（或默认域名）设置，开启「要求客户端证书」，确保APIM只接受携带合法客户端证书的请求。

Terraform 实现代码示例

配置Front Door后端池的客户端证书

resource "azurerm_frontdoor_backend_pool" "apim_pool" {
  name                = "apim-backend-pool"
  frontdoor_name      = azurerm_frontdoor.fd_premium.name
  resource_group_name = azurerm_resource_group.example.name

  backend {
    host_header = azurerm_api_management.example.gateway_url
    address     = azurerm_api_management.example.gateway_url
    https_port  = 443

    # 指定Front Door向APIM发送请求时使用的客户端证书
    client_certificate {
      key_vault_id      = azurerm_key_vault.cert_vault.id
      certificate_url   = azurerm_key_vault_certificate.fd_client_cert.secret_id
    }
  }
}

配置APIM的客户端证书验证策略

resource "azurerm_api_management_policy" "mtls_validation" {
  api_management_id = azurerm_api_management.example.id
  xml_content = <<XML
<policies>
  <inbound>
    <!-- 验证请求携带的客户端证书是否为Front Door的合法证书 -->
    <validate-client-certificate>
      <thumbprint>FrontDoor客户端证书指纹</thumbprint>
    </validate-client-certificate>
  </inbound>
  <backend>
    <forward-request />
  </backend>
  <outbound />
  <on-error />
</policies>
XML
}

证书自动轮换无停机保障 #

1. 依赖Azure Key Vault自动生成证书
   将Front Door使用的客户端证书存储在Azure Key Vault中，配置证书的自动轮换规则（设置有效期3个月，开启自动生成新证书）。
2. Front Door端无缝更新
   Front Door会自动检测Key Vault中的证书更新，无需手动重启或重新配置，新证书会被后台加载，实现无停机切换。
3. APIM端平滑过渡
   在APIM的验证策略中，同时添加新旧证书的指纹，确保轮换期间APIM既能接受旧证书也能接受新证书：

   <validate-client-certificate>
     <thumbprint>旧证书指纹</thumbprint>
     <thumbprint>新证书指纹</thumbprint>
   </validate-client-certificate>
   

   待新证书完全生效、旧证书过期后，再移除旧指纹的配置即可。

补充说明 #

你提到的IP白名单方案确实存在IP变更风险，且无法使用服务标签，而mTLS从身份验证层面确保请求来源的合法性，比IP白名单更可靠。

内容的提问来源于stack exchange，提问作者Michele