Azure AD SCIM用户配置API缺失Authorization Token问题咨询

我在Azure AD中配置SCIM用户同步的步骤如下：

• 创建企业应用程序
• 提供SCIM端点[Domain]/scim和为每个客户生成的唯一JWT令牌以启用同步
• 由客户选择同步全部或指定用户来启动配置

我已遵循SCIM 2.0协议实现了GET、POST、PUT、DELETE等用户端点，用Azure SCIM测试用例在Postman中验证所有端点均正常，但通过Azure AD发起请求时，收到的请求头里没有Authorization令牌，导致验证失败且无法识别请求所属客户。收到的请求头如下：

Array
(
    [Adscimversion] => Date:2023-05-16T03:28:34.9633168Z, ActivityId:5678gb58-a34d-41qw-erfgf-213wew43sds
    [Connection] => close
    [X-Accel-Internal] => /internal-nginx-static-location
    [X-Real-Ip] => [IP]
    [Host] => [HOSTNAME]
)

请问是操作步骤有误，还是有替代实现方案？

排查方向与替代方案 #

1. 检查Azure AD企业应用的SCIM配置 #

• 确认在Azure AD企业应用的**Provisioning（配置）**选项卡中，已正确填写Token字段，且填入的是你生成的JWT令牌。Azure AD仅在该字段有值时，才会在请求头中携带Authorization: Bearer <token>。
• 检查端点URL是否为完整的SCIM基础路径（如https://yourdomain.com/scim），路径错误可能导致Azure AD未触发令牌携带逻辑。

2. 验证中间代理/网关的请求头传递 #

从收到的请求头包含X-Accel-Internal来看，你的SCIM端点前可能存在Nginx等代理服务，需确认代理未丢弃Authorization请求头：

• 检查Nginx配置，确保没有proxy_set_header Authorization "";这类清空请求头的指令；
• 若使用反向代理，需添加proxy_set_header Authorization $http_authorization;来完整转发原请求头。

3. 替代身份验证方案 #

如果JWT令牌传递问题无法快速解决，可考虑以下替代方案：

• 自定义头传递密钥：让客户在Azure AD Provisioning配置中，将API密钥填入自定义请求头（需通过Azure AD应用清单扩展配置支持）；
• IP白名单+租户关联验证：结合请求中的ActivityId关联租户信息，同时配置IP白名单限制Azure AD官方IP段访问，降低对Authorization令牌的依赖。

内容的提问来源于stack exchange，提问作者Nisarg