如何正确配置Azure托管应用通知的端点身份认证？

问题1解答 #

• 你可以自行生成任意符合标准格式的GUID作为sig参数的预期值，不需要向Azure申请或者和其他Azure侧参数绑定，本质是你和Azure通知服务之间的共享密钥。
• 生成后妥善存储即可，推荐存到密钥管理服务中，不要硬编码在应用代码或配置文件里。你只需要把拼接了?sig=你的GUID的完整端点URL填写到Azure托管应用的通知端点配置栏，Azure发送通知时会自动携带这个查询参数，你在服务侧做比对校验即可。

问题2解答 #

• 托管应用实例本身是独立的Azure资源（资源类型为Microsoft.Solutions/applications），支持直接在资源级别配置角色分配，不需要绑定到托管资源组的权限。
• 你可以在部署阶段直接为服务的主体ID（如果你的服务用的是Azure托管身份，直接用该身份的主体ID即可）授予该托管应用实例的读取权限，推荐使用内置的「托管应用读者」角色，该角色仅包含Microsoft.Solutions/applications/read权限，满足调用GET接口查询provisioningState的需求，符合最小权限原则。
• 如果你是手动配置，直接在Azure门户找到对应托管应用实例，进入「访问控制(IAM)」页，添加角色分配即可。如果是通过基础设施即代码部署，在对应的部署模板中添加范围为该托管应用资源的角色分配资源即可完成自动配置。

内容的提问来源于stack exchange，提问作者wahoowa