如何为Azure API Management配置AD安全以支持Angular(adal-angular5)访问

嘿，针对你遇到的Azure API Management（APIM）和Angular SPA的身份验证配置问题，我来逐一拆解解答：

问题1：能否配置APIM让SPA通过Authorization: Bearer <用户令牌>访问API？ #

完全可以！这是APIM支持的标准OAuth 2.0身份验证方式，具体配置步骤如下：

1. 关联Azure AD与APIM：
   登录Azure门户进入你的APIM实例，找到目标API，在「安全」选项卡选择「OAuth 2.0」，添加新的身份验证服务器，关联你的Azure AD租户，设置客户端ID为Angular SPA在AD中注册的应用ID，同时指定令牌受众（可以是APIM的API基础URL，比如https://your-apim-name.azure-api.net，或者自定义的应用ID URI）。
2. 配置validate-jwt验证策略：
   在API的入站策略中添加JWT验证规则，确保传入的Bearer令牌有效、来自你的AD租户且受众匹配。示例策略代码如下：

   <validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="无效令牌，请重新登录。">
       <openid-config url="https://login.microsoftonline.com/你的租户ID/v2.0/.well-known/openid-configuration" />
       <audiences>
           <audience>https://your-apim-name.azure-api.net</audience>
       </audiences>
       <issuers>
           <issuer>https://login.microsoftonline.com/你的租户ID/v2.0/</issuer>
       </issuers>
   </validate-jwt>
   

3. 调整Angular SPA的adal配置：
   确保SPA请求令牌时，resource参数设置为你在APIM中指定的受众值，这样拿到的令牌的aud声明才会和APIM的验证规则匹配。

问题2：如果上述方案不可行，有哪些替代方案？ #

方案1是最贴合你场景的首选，但如果遇到特殊限制，还有这些思路：

• AD验证+Subscription Key转发：先让用户通过AD登录，在一个轻量验证服务中验证身份后，返回有效的Subscription Key给SPA，再用Key访问APIM。不过这种方式安全性不如Bearer令牌，Key存在泄露风险。
• 集成Azure AD B2C：如果应用面向外部用户，可以用APIM对接AD B2C，让用户通过B2C登录获取令牌后访问API。
• 托管身份（服务间场景）：如果SPA调用的后端API本身使用Managed Identity访问，APIM可配置托管身份转发请求，但这个更适合服务到服务调用，不适合直接给SPA使用。

问题3：关于validate-jwt策略与JWT令牌的疑问 #

你现在拿到的1296字符的用户令牌就是JWT！JWT的长度取决于包含的声明数量，长令牌只是因为里面打包了较多用户信息和权限声明，你可以用JWT解析工具拆开看它的header.payload.signature结构。

不需要额外获取新的JWT，只要确保现有令牌满足两个核心条件就能通过验证：

• 令牌的aud（受众）声明匹配APIM策略中设置的audience值
• 令牌的iss（签发者）声明匹配策略中的issuer值
• 令牌未过期且签名有效

内容的提问来源于stack exchange，提问作者Marty131