使用托管身份从Function App访问API时获取Token遇500错误

• 验证API应用注册的标识符URI
  确保api://<guid>和API应用注册里的应用程序ID URI完全一致，包括GUID、大小写和格式，不能有任何拼写错误。可以在Azure AD应用注册的概述页面找到这个值。

• 检查托管身份的角色分配有效性
  用New-AzureADServiceAppRoleAssignment分配角色时，确认参数没填错：

  • ObjectId是Function App托管身份的对象ID（不是客户端ID）
  • ResourceId是API应用注册的对象ID
  • Id是目标App Role的ID（不是显示名称）
    可以运行Get-AzureADServiceAppRoleAssignment -ObjectId <托管身份对象ID>，验证角色分配是否存在且状态正常。

• 显式指定托管身份客户端ID
  如果Function App同时启用了系统分配和用户分配的托管身份，ManagedIdentityCredential可能选错身份。实例化时直接指定客户端ID：

  var tokenCredential = new ManagedIdentityCredential(clientId: "<Function App托管身份的客户端ID>");
  

• 检查API的Easy Auth配置
  确认API的Easy Auth已正确绑定Azure AD，且**受众(Audience)**设置为api://<guid>（和令牌请求的范围前缀一致）。在API的Authentication页面，查看Web平台配置里的受众设置是否匹配。

• 查看Azure AD审核日志找具体原因
  登录Azure门户，进入Azure AD的「日志」->「审核日志」，搜索托管身份请求令牌的相关记录，里面会有500错误背后的具体原因（比如权限不匹配、资源不存在等），这是排查这类问题最有效的方式。

内容的提问来源于stack exchange，提问作者Antonio Buonaiuto