Azure APIM结合AAD保护后端示例中客户端应用的作用是什么？是否冗余？

Azure APIM 集成AAD保护后端场景下客户端应用注册的作用说明 #

客户端应用注册不属于冗余配置，你测试时能跳过相关步骤正常跑通，是当前测试场景的特殊属性导致的，并不适用于生产环境和通用场景：

你能跳过配置正常运行的原因 #

• APIM 开发者门户本身已内置了默认客户端身份集成，你直接在门户内申请访问令牌时，本质是调用了开发者门户对应的内置客户端身份发起授权请求，并非真的没有客户端身份参与流程
• 你直接将配置指向后端应用注册就能运行，是因为测试场景下AAD不会拦截「资源应用本身作为客户端请求自身权限」的操作，但这种用法不符合安全规范，只是开发测试阶段的便利写法

客户端应用注册的核心作用 #

• 实现身份与权限的细粒度隔离：客户端应用注册对应OAuth 2.0标准中的「请求方/客户端」角色，后端应用注册对应「资源方/资源服务器」角色，两者分开配置才能针对不同的调用方（比如前端网页、移动端App、第三方合作应用）分配不同的API调用权限，比如限制某个客户端仅能调用后端的部分公开接口，合并配置的话完全无法实现这类细粒度管控
• 降低凭证泄露的风险范围：如果直接复用后端应用凭证作为客户端凭证使用，一旦客户端侧的凭证泄露，攻击者将直接获得后端应用的全部权限，甚至可以篡改AAD中后端应用的其他配置；两者分开的前提下，单客户端凭证泄露仅会影响该客户端被授权的有限范围，不会影响整个后端服务的安全
• 保障多场景适配兼容性：如果后续需要对接授权码流、委托权限等其他OAuth 2.0授权模式，或是需要对不同调用方做调用量统计、身份校验等操作，必须依赖独立的客户端应用注册才能实现，合并配置会直接导致这类需求无法落地

注意 #

你当前测试的仅为开发者门户内部调用的单一简化场景，后续如果要对接外部调用方，必须为每个独立调用方单独注册客户端应用，不可直接复用后端应用的身份配置。

内容的提问来源于stack exchange，提问作者Pingpong