Azure API Management与OAuth2授权：第三方API访问认证困惑

我之前踩过不少Azure B2C搭配APIM的受众配置坑，咱们结合你的场景一步步理清楚：

先搞懂核心逻辑：谁的受众给谁用 #

你的场景链路是「第三方开发者 → APIM → WebAPI(A)」，B2C是统一身份提供者，这里的受众(Audience) 本质是「令牌的接收方标识符」，不同环节的受众完全不一样：

• 第三方请求APIM时，令牌的受众必须是APIM在B2C中的应用ID（因为APIM是第一个接收令牌的服务）
• APIM转发请求到WebAPI(A)时，必须携带以WebAPI(A)的应用ID为受众的令牌（这也是移动应用(C)能正常调用的原因——它直接请求了这个受众的令牌）

分步配置与排查 #

1. 先给APIM在B2C里注册专属应用 #

你之前可能只给WebAPI和移动应用注册了B2C应用，现在需要给APIM也注册一个：

• 在B2C租户的应用注册里新建一个应用（类型选「Web/API」）
• 给这个应用添加WebAPI(A)的权限（比如默认的user_impersonation），并授予管理员同意
• 记录这个应用的应用ID（后面APIM配置要用）

2. 确认WebAPI(A)的B2C配置无误 #

既然移动应用能正常调用，这部分大概率没问题，但还是要核对：

• WebAPI的配置文件（比如appsettings.json）里，AzureAdB2C:Audience的值是它自己的应用ID
• 在B2C的WebAPI应用注册中，「已授权的客户端应用」里已经包含了APIM的新应用ID（允许APIM代表第三方请求访问WebAPI的令牌）

3. APIM关键配置调整 #

（1）给API配置B2C身份验证

进入APIM的API设置，找到「安全」选项卡：

• 选择「Azure Active Directory B2C」作为身份验证类型
• 填写B2C租户名、用户流/自定义策略名称，受众填APIM刚注册的B2C应用ID（不是WebAPI的ID！）
• 保存后，第三方调用APIM时就会跳B2C认证，拿到的令牌受众是APIM的应用ID，APIM能正常验证

（2）添加APIM到WebAPI的令牌转发策略

APIM验证完第三方的令牌后，需要自动获取WebAPI受众的令牌才能转发请求，添加以下策略到API的「入站处理」中（放在set-backend-service之后）：

<oauth2-acquire-token 
  tenant-id="你的B2C租户ID"
  policy="你的B2C用户流/策略名"
  client-id="APIM的B2C应用ID"
  client-secret="{{apim-b2c-client-secret}}"
  resource="WebAPI(A)的应用ID"
  output-token-variable-name="backend-access-token"
  grant-type="authorization_code"
  scope="openid" />

<set-header name="Authorization" exists-action="override">
  <value>Bearer @(context.Variables.GetValueOrDefault<string>("backend-access-token"))</value>
</set-header>

注意：client-secret要存在APIM的命名值里，不要硬编码

4. 开发者门户测试的常见问题排查 #

如果触发B2C认证后仍报错，优先做这几步：

• 用JWT解析工具看第三方拿到的令牌：aud字段必须是APIM的B2C应用ID，iss是你的B2C租户域名
• 检查APIM策略是否生效：可以在APIM的测试控制台里看请求头，确认Authorization头已经被替换成WebAPI受众的令牌
• 确认B2C用户的权限：测试用的用户必须被允许访问WebAPI(A)的权限（如果B2C有配置用户权限的话）

内容的提问来源于stack exchange，提问作者RNDThoughts