Azure APIM自定义认证、登录登出及多源API管控方案咨询

1. Azure APIM全量认证流程可选方案列表 #

APIM原生支持的全量认证方案及对应能力覆盖情况如下：

• OAuth 2.0 授权码流：支持完整的用户态登录/登出逻辑，可配置令牌有效期、自定义注册跳转URL，搭配开发者门户可实现会话超时自动登出
• OAuth 2.0 客户端凭据流：服务到服务身份认证，无用户态登录登出逻辑，可配置令牌有效期阈值校验
• OpenID Connect (OIDC) 认证：基于OAuth2扩展，自带身份元数据端点，可直接映射登录/登出端点、令牌有效期、注册URL配置，支持会话超时自动登出
• 自定义API密钥认证：轻量认证方式，可配置密钥有效期、自定义失效逻辑，无原生登录/注册流程，需自行对接外部身份系统实现相关能力
• 客户端证书认证：双向TLS认证，可配置证书有效期校验，无原生登录/注册/登出逻辑，适合服务级可信访问场景
• HTTP基本认证：HTTP原生基础认证，需自行对接身份存储实现登录/登出/有效期管控，可自定义注册跳转逻辑

2. 自定义域名+自定义认证对接外部API的JWT验证实现方法 #

按照下述步骤配置即可实现需求，无需后端外部API做适配改造：

1. 自定义域名绑定：进入APIM实例的「自定义域」配置页，添加目标自定义域名，上传对应SSL证书完成所有权验证，确保API网关入口使用该自定义域名对外暴露
2. 自定义身份提供者配置：进入APIM的「OAuth 2.0 + OpenID Connect」配置页，添加你的非Azure外部身份提供者，填入对应的颁发者URL、合法受众、JWKS端点信息，无需身份提供者部署在Azure侧
3. 入站JWT验证策略配置：在对应外部API的「入站处理」配置中，添加validate-jwt策略，核心配置示例如下：

<validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized">
    <openid-config url="你的外部身份提供者OIDC元数据地址" />
    <audiences>
        <audience>你预设的合法受众值</audience>
    </audiences>
    <issuers>
        <issuer>你预设的合法颁发者值</issuer>
    </issuers>
</validate-jwt>

4. 后端服务配置：将非Azure外部API的访问地址配置为APIM的后端目标，APIM完成JWT验证通过后会自动转发请求到后端外部API。你遇到的JWT验证仅内部API生效的问题，可优先检查策略绑定范围是否仅限定了内部API分组，调整绑定到对应外部API即可生效。

3. 管控本地/其他云RESTful API的最优认证方案 #

根据不同访问场景最优选择如下：

• 服务到服务访问场景：优先选择客户端证书认证，无需依赖公网身份服务，APIM侧配置证书校验规则，本地/其他云API的调用方携带指定证书即可发起访问，安全性高；次选OAuth2客户端凭据流，对接任意位置部署的统一身份提供者，APIM侧做JWT验证即可，兼容性好
• 带用户态的访问场景：优先选择OIDC认证，对接你自有的用户身份系统，APIM侧完成身份校验后转发请求，可完整支持登录/登出/权限管控逻辑
• 轻量内部访问场景：可选自定义API密钥认证，APIM侧统一管控密钥生命周期，调用方请求头携带密钥即可访问，配置简单运维成本低

你之前测试的Azure AD客户端凭据流仅内部API生效的问题，可检查应用注册的暴露API范围是否仅开放给了内部API，调整应用注册的权限范围即可支持跨环境调用的JWT验证。

内容的提问来源于stack exchange，提问作者Jaguar