使用托管标识在 Azure 中应用服务到应用服务身份验证

Question

我在 Azure 中设置了两个应用服务。 'Parent' 和 'Child' 都暴露 API 端点。

• 孩子有端点“Get”。
• Parent 具有端点“Get”和“GetChild”（使用 HttpClient 在 Child 上调用“Get”）。

我希望所有子端点都要求通过托管身份和 AAD 进行身份验证，并且我希望所有父端点都允许匿名。但是在 Azure 中，我想将父应用服务设置为有权调用子应用服务。因此，子端点只能通过使用父端点访问（或者如果您对用户帐户具有直接使用子节点的权限）。

在 Azure 门户中：

身份验证/授权

• 我已在两个应用服务上启用了“应用服务身份验证”。
• 孩子设置为“使用 AAD 登录”。
• 父级设置为“允许匿名请求”。
• 两者都在“身份验证提供程序”下配置了 AAD。

身份

• 两个应用服务都设置为“开启”

访问控制 (IAM)

• 子级将父级作为角色分配，类型 =“应用服务或功能应用”，角色 =“贡献者”

以上所有设置：

• Calling Child -> Get，需要我登录
• 调用Parent -> Get，返回200 OK的预期响应
• 调用Parent -> GetChild，返回“401 - 您无权查看此目录或页面”

如果不使用客户端 ids/Secrets/Keys/etc，因为我认为托管身份背后的想法是将所有这些都扔到窗外，鉴于上述所有情况，Parent 是否应该能够调用 Child？如果是这样，我的设置有什么问题？

Answer 1

扩展已接受的答案。

1. 您需要在目标应用注册的清单中定义一个“应用角色”。这是用于表示资源（API App Service）的应用注册。

2. 然后，您使用 Azure CLI 将该“应用程序角色”的权限授予企业应用程序（当您为客户端应用程序设置托管标识时生成的权限）。详细步骤见本文“API 和其他 Azure AD 注册应用”https://blog.yannickreekmans.be/secretless-applications-add-permissions-to-a-managed-identity/

授予权限后，您可以使用以下方法检索令牌。下面的代码 sn-p 使用 Azure.Identity，它现在是 Azure 中托管标识的推荐库。

public class AzureAdTokenRetriever : IAzureAdTokenRetriever
{
    private readonly ILogger<AzureAdTokenRetriever> logger;
    private readonly IMemoryCache inMemoryCache;

    public AzureAdTokenRetriever(
        ILogger<AzureAdTokenRetriever> logger,
        IMemoryCache inMemoryCache)
    {
        this.logger = logger;
        this.inMemoryCache = inMemoryCache;
    }

    public async Task<string> GetTokenAsync(string resourceId, string scope = "/.default")
    {
        var resourceIdentifier = resourceId + scope;
        if (inMemoryCache.TryGetValue(resourceIdentifier, out var token))
        {
            this.logger.LogDebug("Token for {ResourceId} and {Scope} were fetched from cache", resourceId, scope);
            return (string)token;
        }

        var tokenCredential = new DefaultAzureCredential();
        var accessToken = await tokenCredential.GetTokenAsync(
            new TokenRequestContext(new [] { resourceIdentifier }), CancellationToken.None)
            .ConfigureAwait(false);

        // Set cache options with expiration 5 minutes before the token expires
        var cacheEntryOptions = new MemoryCacheEntryOptions().SetAbsoluteExpiration(accessToken.ExpiresOn.AddMinutes(-5));
        inMemoryCache.Set(resourceIdentifier, accessToken.Token, cacheEntryOptions);
        this.logger.LogDebug("Token for {ResourceId} and {Scope} saved in cache with expiration of {TokenExpiry}",
            resourceId, scope, cacheEntryOptions.AbsoluteExpiration);

        return accessToken.Token;
    }
}

Answer 2

• 调用Parent -> GetChild，返回“401 - 您无权查看此目录或页面”

不使用 Client ids/Secrets/Keys/etc，就像我想的那样 托管身份的背后是将所有这些都扔到窗外，给定 以上所有，父母应该可以打电话给孩子吗？如果是这样，什么 我是不是设置错了？

我注意到当前设置有两点。

1.使用托管身份获取令牌以从“父”调用“子”服务端点

托管身份仅为您的应用服务提供身份（无需管理/维护应用机密或密钥）。然后，此身份可用于获取不同 Azure 资源的令牌。

但您的应用仍有责任使用此身份并获取相关资源的令牌。在这种情况下，相关资源将是您的“子”API。我想这可能是你现在缺少的部分。

Microsoft Docs 上的相关文档 - How to use managed identities for App Service and Azure Functions > Obtain tokens for Azure resources

using Microsoft.Azure.Services.AppAuthentication;
using Microsoft.Azure.KeyVault;
// ...
var azureServiceTokenProvider = new AzureServiceTokenProvider();
string accessToken = await azureServiceTokenProvider.GetAccessTokenAsync("https://vault.azure.net");

// change this to use identifierUri for your child app service. 
// I have used the default value but in case you've used a different value, find it by going to Azure AD applications > your app registration > manifest
string accessToken = await azureServiceTokenProvider.GetAccessTokenAsync("https://<yourchildappservice>.azurewebsites.net");

此 C#/.NET 示例使用 Microsoft.Azure.Services.AppAuthentication nuget 包并获取 Azure Key Vault 的令牌。在您的情况下，您将用您的“子”服务的 identifierUri 替换 https://vault.azure.net。它通常默认设置为https://<yourappservicename>.azurewebsites.net，但您可以通过转到 Azure AD 应用程序然后找到相关的应用注册 > 清单来找到它的值。您还可以将 applicationId 用于目标应用程序（即“Child”）来获取令牌。

如果您不使用 C#/.NET，上面相同的 Microsoft Docs 链接还提供了有关如何使用托管标识和 基于 REST 的调用获取令牌的指南任何平台。 Using REST Protocol

这是一篇博文，也提供了很好的介绍 - Call Azure AD protected website using Managed Service Identity (MSI)

2。 Azure RBAC 角色分配不同于您可能想要使用的 Azure AD 角色

我看到您已从 IAM 将参与者角色分配给父应用服务的身份。此角色分配适用于 Azure RBAC，并有助于授予管理资源的权限，但 Azure AD 角色声明的工作方式不同。

如果您要做的是为父应用分配一个角色，可以在子应用中进行检查，然后才允许调用，则有另一种设置方式。

我首先要提到的是，这种基于角色的设置是针对一些高级场景的，并不是必须要做的。按照上述第 1 点中的步骤操作后，您应该可以从“父母”调用“儿童”服务。

现在，一旦从父级到子级的调用开始工作，您可能希望将对子级应用服务的访问限制为仅“父级”或少数有效应用程序。以下是实现这一目标的两种方法。

这两种方法都在此处的 Microsoft Docs 中进行了解释 - Microsoft identity platform and the OAuth 2.0 client credentials flow

关联 SO 帖子和博客

• Is there a way to secure an Azure Function that will only be called from a specific Azure Logic App?

• Azure Active Directory - How to restrict Backend API App Registration to a specific client App Registration

• https://joonasw.net/view/calling-your-apis-with-aad-msi-using-app-permissions

方法 1 - 使用访问控制列表

当您的“子”API 收到令牌时，它可以解码该令牌并从 appid 和 iss 声明中提取客户端的应用程序 ID。然后它将应用程序与它维护的访问控制列表 (ACL) 进行比较。

根据您的要求，API 可能仅向特定客户端授予完整权限的子集或所有权限。

方法 2 - 使用应用程序权限或角色

配置您的子 API 应用程序以公开一组应用程序权限（或角色）。

这种方法更具声明性，因为您定义了一个应用程序权限，该权限需要分配给任何可以调用您的child-api 的应用程序。

导航到 Azure Active Directory > 应用注册 > child-api 应用的应用注册 > 清单

添加一个新的应用程序角色.. 像这样使用 json：

"appRoles": [
{
  "allowedMemberTypes": [
    "Application"
  ],
  "displayName": "Can invoke my API",
  "id": "fc803414-3c61-4ebc-a5e5-cd1675c14bbb",
  "isEnabled": true,
  "description": "Apps that have this role have the ability to invoke my child API",
  "value": "MyAPIValidClient"
}]

将应用权限分配给您的前端应用

New-AzureADServiceAppRoleAssignment -ObjectId <parentApp.ObjectId> -PrincipalId <parentApp.ObjectId> -Id "fc803414-3c61-4ebc-a5e5-cd1675c14bbb" -ResourceId <childApp.ObjectId>

现在，在您的子 api 收到的身份验证令牌中，您可以检查角色声明集合是否必须包含名为“MyAPIValidClient”的角色，否则您可以拒绝未授权异常的调用。