通过Azure API Management调用Durable Function状态查询返回403

可以通过APIM暴露Durable Functions的状态查询端点，你遇到的403问题和存储账户权限无关，核心是APIM转发请求的参数传递、函数应用的访问控制配置出了问题，具体解决步骤如下：

• 确保完整转发code查询参数：
  直接调用的状态URL里包含函数应用的访问密钥code，APIM转发请求时必须完整传递这个参数。检查APIM对应API操作的「设计」页面，确认查询参数code被设置为「传递」（Pass-through），没有被移除或修改。

• 调整函数应用的访问限制规则：
  如果你的函数应用开启了访问限制（在「网络」->「访问限制」配置），需要将APIM的所有出站IP地址添加到允许列表中。你可以在APIM实例的「概述」页面找到「出站IP地址」列表，批量添加到函数应用的允许规则里。

• 配置APIM到函数应用的托管身份认证（替代密钥方式）：
  若不想依赖函数密钥传递，可改用托管身份认证：

  1. 给函数应用启用Azure AD身份验证，设置应用注册并配置访问范围；
  2. 在APIM的「后端」设置中，将认证类型改为「托管身份」，选择APIM的系统分配或用户分配身份；
  3. 给APIM的托管身份授予函数应用的访问权限（比如在Azure AD应用注册中添加角色分配）；
  4. 确保Durable Functions的状态查询端点支持Azure AD认证（可通过host.json中的durableTask配置调整）。

• 检查APIM后端路径配置：
  确认APIM的后端URL指向函数应用的根域名（如https://some-ulr-to-the-function-app.azurewebsites.net），而状态查询的路径/runtime/webhooks/durabletask/instances/{instanceId}在APIM的API操作中正确定义，没有额外的路径前缀导致请求地址错误。

• 对比请求差异排查：
  用APIM的测试控制台发送请求，同时抓包直接调用的请求，对比两者的请求头、查询参数是否一致。比如APIM是否修改了Host头或者其他关键请求头，导致函数应用拒绝访问。

补充：你之前给APIM托管身份授予存储账户权限是多余的，因为状态查询请求是由函数应用处理并访问存储，APIM只需要能正常访问函数应用即可，不需要直接操作存储。

内容的提问来源于stack exchange，提问作者in-pv