Разрешить авторизацию без ключа из идентификатора управляемой службы в функцию Azure

Question

Представь, что у меня есть:

Функция Azure ( func ), предоставляющая конечную точку http ( api1 )
Служба приложений Azure ( service1 ), для которой настроен идентификатор управляемой службы ( msi1 )

Я хотел бы настроить все таким образом, чтобы service1 мог сделать HTTP-запрос к api1 , а api1 знает, что запрос поступает из msi1 . Кроме того, я хотел бы иметь возможность настроить service1 на портале Azure, чтобы разрешить или запретить доступ к api1 .

.

По сути, я хочу в максимально возможной степени настроить, какие службы приложений имеют доступ к каким функциям (или наоборот) на портале Azure, без необходимости создавать и управлять токенами или ключами API в настройках приложения.

Я хотел бы подчеркнуть, что это сервис-сервис - service1 не запрашивает какую-либо регистрационную информацию у своих пользователей.

Я полагаю, что это должно быть возможно, но большая часть документации, с которой я столкнулся, описывает ситуации, в которых пользователь входит в систему через Microsoft / Facebook / Google / Wh угодно и получает таким образом токен доступа. Я знаю, что могу использовать учетные данные клиента при регистрации приложения, чтобы создать действительный токен на предъявителя; но это не должно быть необходимым, поскольку service1 выполняется в контексте безопасности msi1 .

Answer 1

Как сказал Юунас, вы можете обратиться к его статье , чтобы обезопасить функцию Azure от службы приложений с помощью управляемого удостоверения.

Зарегистрируйте свой api1 как приложение в AAD и используйте powershell для назначения разрешения MSI service1. Кажется, что назначение разрешения для MSI не поддерживается на портале, поэтому вы можете просто использовать powershell для его назначения. Вот аналогичный поток , который назначает разрешение для MSI, к которому вы можете обратиться.