Защита службы приложений Azure (REST API) с использованием Azure AD

Question

У меня есть простое требование защиты Azure службы приложений (REST API), чтобы - анонимный доступ к API отсутствовал, и только выбранные клиенты (идентификаторы клиентов регистрации приложения) могут обращаться к API с помощью аутентификации на основе токена / авторизации.

Я сделал следующее -

1. Создайте регистрацию приложения для службы (REST API).
2. Создайте область по умолчанию для вышеуказанной регистрации приложения (api : //svcguid/.default)
3. Создание регистрации приложения для клиента.
4. Добавление клиента на странице регистрации приложения-службы> страница «Предоставление API»> раздел «Авторизованные клиентские приложения».
5. Подключите регистрации приложений в API и коде / конфигурации клиента

Проблема с вышеупомянутым подходом заключается в том, что любой новый клиент (в том же клиенте AD), который не добавляется в Раздел «Авторизованные клиентские приложения» в пункте 4, также имеет возможность доступа к API. Что мне здесь не хватает?

Answer 1

Я считаю, что это контролируется действием администратора, чтобы предоставить клиентам доступ к области API на портале Azure, как в шаге 6 моей записи.

API также может явно проверять эту область при проверке токенов доступа.