如何使用App Service身份验证生成的OAuth 2.0令牌触发Azure WebJob？

直接针对你遇到的403问题，以下是经过验证的实现步骤和排查要点：

1. 修正令牌的受众（Audience）配置 #

你的OAuth令牌必须以App Service的客户端ID作为aud声明，这是核心前提。因为WebJob托管在App Service下，认证请求会先被App Service的身份验证中间件处理：

• 若用Azure AD获取令牌，v1端点需指定resource参数为App Service的客户端ID；v2.0端点则用scope参数为{AppServiceClientId}/.default。
• 用jwt.ms解析令牌，确认aud值与App Service客户端ID完全匹配，同时确保使用的是access_token而非id_token（id_token仅用于身份标识，无法用于API调用）。

2. 切换WebJob触发URL #

不要使用Kudu站点（.scm.azurewebsites.net）的默认触发URL，改用App Service主域名的路由：

https://<appname>.azurewebsites.net/api/triggeredwebjobs/<jobname>/run

Kudu站点的认证体系与主站点独立，主站点的OAuth令牌无法直接用于Kudu API调用。

3. 配置App Service身份验证规则 #

• 进入App Service「身份验证」面板，选择「需要身份验证」或「允许匿名请求（无操作）」：
  • 选「需要身份验证」时，确保令牌对应的用户/服务主体在允许访问的范围内（无额外用户组/角色限制，或已添加对应权限）。
  • 若启用了租户限制，确认令牌的iss声明来自允许的租户。

4. 服务主体权限配置（若用服务主体调用） #

如果使用Azure AD服务主体获取令牌，需为其分配合适的权限：

• 至少分配Website Contributor角色，或更细粒度的自定义角色，确保服务主体拥有触发WebJob的权限。
• 若App Service身份验证设置了用户/角色限制，需将该服务主体添加到允许列表中。

5. Postman调用示例 #

• 请求方法：POST
• URL：https://<appname>.azurewebsites.net/api/triggeredwebjobs/<jobname>/run
• 请求头：Authorization: Bearer <你的OAuth令牌>
• （可选）若WebJob需要参数，在请求体中传入对应JSON或表单数据

常见403排查点 #

• 令牌aud声明不匹配App Service客户端ID（最常见原因）
• 误用Kudu的.scm触发URL
• 服务主体角色分配不足
• App Service身份验证规则限制了令牌所属租户/用户组

内容的提问来源于stack exchange，提问作者Shadmaan Hussain