是否可以将Azure App Configuration放置在Azure Front Door后端？

你遇到的AADSTS500011报错本质是Azure AD无法将你自定义的Front Door域名识别为App Configuration服务的合法资源主体。默认配置下，App Configuration的AAD身份验证仅认可官方根域名*.azconfig.io作为令牌受众，你用自定义的Front Door域名发起认证请求时，AAD会将该自定义域名作为资源ID在租户内检索，找不到对应注册的资源主体就会抛出这个错误。

Azure.Identity.AuthenticationFailedException
DefaultAzureCredential authentication failed.
...
Azure.Identity.AuthenticationFailedException
ClientSecretCredential authentication failed.
...
Azure.RequestFailedException
Service request failed.
Status: 400 (Bad Request)

Content:
{"error":"invalid_resource","error_description":"AADSTS500011: The resource principal named https://config.[redacted].com was not found in the tenant named [redacted]. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You might have sent your authentication request to the wrong tenant."}

• 方案1（无额外AAD配置，推荐）
  申请AAD访问令牌时，显式指定资源Scope为App Configuration官方通用标识https://azconfig.io/.default，不要使用Front Door自定义域名作为Scope。即便你最终请求的端点是自定义域名，只要令牌的受众参数为官方azconfig.io，后端所有App Configuration实例都能正常校验通过。
  如果使用Azure官方的App Configuration SDK，需要手动覆盖SDK默认从请求端点自动生成Scope的逻辑，各语言SDK均提供了显式配置Scope的参数。

• 方案2（适配自定义域名强绑定场景）
  在你的AAD租户中新建一个应用注册，将Front Door的自定义域名添加为该应用的标识符URI，再为该应用分配所有后端App Configuration实例的对应数据访问权限。后续客户端认证时直接使用该应用的标识符URI作为资源Scope即可。

• 确认Front Door的转发规则完整透传Authorization请求头到后端，不要做裁剪、修改操作
• 确认Front Door的路由路径改写规则和直接访问App Configuration实例的路径规则保持一致

内容的提问来源于stack exchange，提问作者David Peden