要上传到 Azure APIM 的客户端证书类型？

Question

我有一个 HTTP 触发的 Azure 函数，前面带有 Azure API 管理 (APIM)。

• Client-certificates 在 Azure Function 级别设置为 Require：

• 和在 APIM 级别：

我需要将客户端证书（public 客户端证书）添加到某种“信任库”中。看来 APIM 的“客户端证书”页面相当于信任库。

问题是：APIM 在这里寻找什么类型的客户端证书？

• 应该只是客户的public证书，对吧？
• 我不应该将这些存储在 Azure Key Vault 中，因为它们不包含私钥
• 我只需要检查请求中的客户端证书是否来自“受信任的来源”，以防止请求到达我的应用程序代码（如果它们是未知客户端）。

Answer 1

我认为this doc 对在 azure apim 中启用客户端证书身份验证有生动的解释。在这里总结一下，您不必上传证书文件，因为您可以在策略中设置Thumbprint，其值类似于

<when condition="@(context.Request.Certificate == null 
       || context.Request.Certificate.Thumbprint != "456AAB1833DF842152605DF6C2B1DB2BBA29380D"
       || context.Request.Certificate.NotAfter<DateTime.Now)">

如果你上传证书，你可以像这样设置策略：

<when condition="@(context.Request.Certificate == null 
       || !context.Deployment.Certificates.Any(c => c.Value.Thumbprint == context.Request.Certificate.Thumbprint)
       || context.Request.Certificate.NotAfter<DateTime.Now)">

这是 apim 客户端证书上的相关 official docs。