Azure通过Azure AD调用内部服务（SharePoint，SQL）保护WebAPI

Question

我从Kirk Evans开始阅读这个优秀系列：

http://blogs.msdn.com/b/kaevans/archive/2015/03/27/the-api-economy-consuming-our-web-api-from-a-single-page-app.aspx

但我需要更进一步。我需要他在文章中绘制的相同架构： http://blogs.msdn.com/cfs-filesystemfile.ashx/__key/communityserver-blogs-components-weblogfiles/00-00-00-25-31-metablogapi/4064.image_5F00_6A334CB5.png

但是现在，Azure中的自定义WebAPI需要在On Premises基础架构中调用另一个API，考虑到这一点，API需要“代表”用户从SharePoint内部获取信息（当然还有其他来源）比如SQL Server或其他内部服务。）

我假设两个Active目录（Azure AD和内部AD）都是联合的。

有关如何实现这一点的想法吗？

非常感谢。

Answer 1

如果它是一个网站，并且您需要Kerberos约束委派等内容，请参阅我的博客：

http://blogs.msdn.com/b/kaevans/archive/2015/04/13/azure-ad-application-proxy-and-sharepoint-2013.aspx

如果需要通过特定协议进行连接，例如与SQL Server的TDS连接，则可以使用混合连接。

http://blogs.msdn.com/b/alimaz/archive/2014/07/31/connect-sharepoint-online-to-an-on-premises-sql-server-from-an-azure-provider-hosted-app-using-hybrid-connections.aspx

如果需要将Kerberos约束委派用于非HTTP协议，请参阅以下会话，其中演示.NET中的几行代码以读取传入的声明并模拟用户。需要您配置Kerberos约束委派，如上面的第一篇文章所示。

http://channel9.msdn.com/Events/TechEd/NorthAmerica/2014/OFC-B327#fbid=