使用托管标识对 Azure 服务总线进行经过身份验证的 REST API 调用

Question

Azure 服务总线支持托管标识访问，但是我发现的唯一方法是，例如将消息发送到队列是使用这种需要代码和服务总线 SDK 的方法：

var tokenProvider = TokenProvider.CreateManagedServiceIdentityTokenProvider();
QueueClient sendClient = new QueueClient($"sb://{Config.Namespace}.servicebus.windows.net/", Config.Queue, tokenProvider);
await sendClient.SendAsync(new Message(Encoding.UTF8.GetBytes(messageInfo.MessageToSend)));
await sendClient.CloseAsync();

来源： https://github.com/Azure-Samples/app-service-msi-servicebus-dotnet https://docs.microsoft.com/en-us/azure/service-bus-messaging/service-bus-managed-service-identity

我正在寻找一种方法来通过 Azure API 管理策略中的 REST API 调用执行相同的操作。我已授予 APIM、基于角色的对服务总线的访问权限，并且我能够取回令牌，但是在尝试使用授权标头中传递的托管身份令牌进行 REST API 调用时，我从服务总线收到此错误：

MalformedToken: The credentials contained in the WRAP header are not well-formed.

看起来服务总线目前可能只支持 WRAP 或 SAS 令牌及其 REST API：https://docs.microsoft.com/en-us/rest/api/servicebus/send-message-batch

但话说回来，这在幕后是如何运作的？

TokenProvider.CreateManagedServiceIdentityTokenProvider()

似乎应该可以使用 REST API。

Answer 1

似乎在 SDK 中他们没有将其指定为 Authorization: Bearer tokenabcdef.....，而是指定为 Authorization: tokenabcdef。这有点不寻常。