APIM使用用户分配身份调用Azure容器应用API的策略验证与安全咨询

一、APIM策略配置正确性判断 #

你的authentication-managed-identity策略配置语法逻辑是正确的：

• client-id填写APIM关联的用户分配身份uai_2的客户端ID，符合策略参数定义——指定APIM使用自身的uai_2身份向Azure AD请求访问令牌；
• resource填写容器应用API关联的uai_1的客户端ID，代表APIM要获取访问uai_1关联资源的令牌，只要容器应用的API已配置为验证受众为uai_1的令牌，该配置即可生效。

需额外确认：容器应用的API是否已正确配置身份验证规则，允许接收以uai_1为受众的Azure AD令牌。

二、API安全防护指导 #

1. 通过Azure AD应用注册保护容器应用API #

• 创建Azure AD应用注册：
  • 在Azure门户的Azure AD中新建应用注册，命名（如container-api-app）；
  • 记录该应用注册的客户端ID和应用ID URI（可在“概述”页获取）；
  • 在“公开API”页添加作用域（如api://<客户端ID>/access_api），用于后续授权管控；
• 配置容器应用身份验证：
  • 进入容器应用的“身份验证”设置，添加Azure AD身份提供者并关联上述应用注册；
  • 设置令牌验证规则，确保仅携带有效Azure AD令牌（受众为该应用注册的客户端ID/应用ID URI）的请求可访问API。

2. 调整APIM策略适配新防护规则 #

将原策略的resource参数替换为新创建的应用注册的客户端ID或应用ID URI，而非uai_1的客户端ID：

<policies>
  <inbound>
    <authentication-managed-identity resource="应用注册的客户端ID/应用ID URI" client-id="uai_2的客户端ID" ignore-error="false"/>  
  </inbound>
</policies>

3. 补充安全防护措施 #

• APIM层面管控：
  • 添加订阅密钥验证策略，要求调用者提供有效订阅密钥才能访问APIM暴露的API；
  • 配置IP限制策略，仅允许指定IP段的请求访问；
• 容器应用层面防护：
  • 启用虚拟网络集成，限制仅APIM所在网络能访问容器应用；
  • 开启Azure Monitor和Log Analytics，监控API访问日志与异常请求；
• 权限最小化配置：
  • 为uai_2分配应用注册的最小必要权限（如上述创建的access_api权限）；
  • 限制uai_1仅拥有容器应用运行所需的最小权限，避免过度授权。

内容的提问来源于stack exchange，提问作者user7022485