何时使用Azure AD保护Azure API Management？能否与subscription密钥搭配使用

项目当前情况 #

• 正在开发对外提供服务的API，服务对象覆盖多个外部客户端，核心管控目标是配置严格的访问限制，仅允许受信任的第三方访问API资源
• 已调研两类Azure生态下的API保护方案的能力边界：
  • 方案1：Azure API Management原生提供的subscription密钥机制，可直接用于API的基础访问控制
  • 方案2：API对接Azure AD的身份校验机制，当前已知该方案可支持基于角色、外部系统类型的细粒度访问管控，例如为持有特定角色的外部系统开放附加功能权限

核心咨询问题 #

• 除已明确的「需基于角色、外部系统类型做细粒度权限划分」场景外，还有哪些场景必须使用Azure AD身份校验方案，而非subscription密钥机制？
• subscription密钥校验与Azure AD身份校验两种方案能否叠加组合使用？
• 若需要为浏览器、移动端等全类型客户端应用授予访问权限，选择哪种方案适配性最优？
• 已知Azure AD B2C是适配这类多客户端访问场景的优选方案，希望获得对应的落地实施指导

内容的提问来源于stack exchange，提问作者Anuar Nurmakanov