Azure APIM与Application Proxy Authorization头冲突问题咨询

使用Azure API Management对接受Azure Active Directory保护的本地后端API时，Azure Application Proxy和后端服务存在认证头冲突：二者均要求使用HTTP请求的Authorization头传递Bearer令牌。

当前请求链路如下：

APIM => Application Proxy => Managed Identity => Backend service (API)
        |--> requires Authorization: Bearer      | 
                                                 |
                                                 |--> also requires Authorization: Bearer

核心问题：后端服务与App Proxy/托管标识均依赖同名AuthorizationHTTP头，使用托管标识完成App Proxy认证时，该头会被App Proxy/托管标识覆写，导致后端服务无法收到合法的认证令牌。

跟踪日志示例如下：

authentication-managed-identity (0.577 ms)
{
    "message": "Obtaining managed identity token using clientId:1139001d-75a0-451a-8fdc-14672baad4f4 AAD Authority:https://login.windows.net/e64eed3b-130b-4001-b50d-f867ed318682 for 1ca6a7dc-02e0-409c-aa39-c378cf0620db audience succeeded.",
    "errorResponse": null
}

set-header (0.009 ms)
{
    "message": "Specified value was assigned to the header (see below).",
    "header": {
        "name": "Authorization",
        "value": "Bearer ...
}

已尝试的排查方案 #

• 在APIM的<backend>策略节点尝试覆写Authorization头，但APIM不支持在该节点添加额外自定义后端策略
• 查阅Azure官方APIM认证策略文档，未找到直接可行的解决方案
• 后端服务无法调整为使用其他HTTP头承载认证信息

当前APIM配置示例如下：

<policies>
    <inbound>
        <base />
        <!-- [required] fetch a token from Azure AD -->
        <authentication-managed-identity resource="abc...123" client-id="def...456" 
            output-token-variable-name="msi-access-token" ignore-error="false" />

        <!-- [required] inject the token in Authorization header, otherwise you need to login with AD first; this overwrite is the problem.
        -->

        <set-header name="Authorization" exists-action="override">
            <value>@("Bearer " + (string)context.Variables["msi-access-token"])</value>
        </set-header>
    </inbound>
    <backend>
        <base />
        <!-- cannot add additional policies here? -->
    </backend>
    <outbound>
        <base />
    </outbound>
    <on-error>
        <base />
    </on-error>
</policies>

咨询问题 #

1. 当前架构下是否有方案可避免Authorization头被覆写，将原始的Authorization: Bearer令牌正常传递至后端服务？
2. 是否可为App Proxy/Managed Identity配置其他认证方式，无需占用Authorization头（例如使用自定义头名称、通过HTTP请求体传递认证信息等）？

问题1：保留后端服务所需原始Authorization头的落地方案 #

不要在inbound阶段直接覆写全局Authorization头，利用Azure Application Proxy的官方头透传规则做分层传递即可，全程不需要修改后端业务代码：

1. 在inbound策略最开始，先把客户端传入的、供后端服务校验的原始Authorization头值存到上下文变量中，紧接着删除原始Authorization头，避免托管标识获取token阶段产生冲突
2. 正常调用authentication-managed-identity策略获取用于App Proxy认证的MSI令牌，将该令牌设置为Authorization头的值，供App Proxy完成预认证校验
3. 将之前暂存的后端认证令牌，设置为X-Forwarded-Authorization头——Azure Application Proxy默认会透传所有X-Forwarded-*前缀的自定义头到后端服务，不会对这类头做覆写、拦截或剥离
4. 在后端服务前置的宿主层（比如IIS、Nginx）加一条轻量转发规则，在请求到达API业务逻辑前，将X-Forwarded-Authorization头的值回填为标准Authorization头即可。

注：不要尝试在<backend>节点插入自定义策略，消费层及以下规格的APIM实例确实不支持在backend节点插入自定义转发逻辑，该限制是产品层面的，没有稳定绕过空间。

调整后的APIM inbound策略参考：

<inbound>
    <base />
    <!-- 第一步：暂存后端用的原始Authorization头，清空原头避免冲突 -->
    <set-variable name="backend-auth-token" value="@(context.Request.Headers.GetValueOrDefault("Authorization", ""))" />
    <set-header name="Authorization" exists-action="delete" />

    <!-- 第二步：获取App Proxy认证用的MSI令牌，设置为标准Authorization头 -->
    <authentication-managed-identity resource="abc...123" client-id="def...456" 
        output-token-variable-name="msi-access-token" ignore-error="false" />
    <set-header name="Authorization" exists-action="override">
        <value>@("Bearer " + (string)context.Variables["msi-access-token"])</value>
    </set-header>

    <!-- 第三步：将后端用的原始令牌放到透传自定义头中传递 -->
    <set-header name="X-Forwarded-Authorization" exists-action="override">
        <value>@((string)context.Variables["backend-auth-token"])</value>
    </set-header>
</inbound>

如果后端是IIS承载服务，只需要在web.config中加一条URL重写规则就能完成头的回填，不需要改动任何业务代码。

问题2：App Proxy/托管标识是否支持改用其他位置传递认证信息 #

不支持。
Azure Application Proxy的AAD预认证逻辑硬性要求，访问代理地址的请求必须在标准Authorization头携带合法的AAD颁发的访问令牌，产品本身没有提供自定义认证头、请求体传参的配置入口，所有非标准位置传递的令牌都会被代理直接忽略，触发302跳转到AAD登录页。
不要尝试通过非公开配置修改App Proxy的认证传参位置，这类未官方支持的配置方式会在代理版本迭代后随机失效，没有生产可用性。

内容的提问来源于stack exchange，提问作者Juliën