Api管理Azure OAuth 2.0，不使用AAD

Question

我们可以在不使用AAD的情况下在Azure Api管理中使用OAuth 2.0吗？ 我们已为OAuth 2.0实施创建了身份验证服务器。

Answer 1

是的，没有要求使用AAD，任何OAuth 2.0服务器都应该有效。

Answer 2

如果您构建客户端应用程序以直接与OAuth2服务器通信以获取JWT令牌，则API Management可以在允许访问您的API之前验证JWT令牌。如果您的OAuth服务器支持OpenId配置，则可以使用如下所示的Validate-Jwt政策执行此操作：

<validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized. Access token is missing or invalid.">
    <openid-config url="https://{Your OAuth Server}/.well-known/openid-configuration" />
    <required-claims>
        <claim name="id" match="all">
            <value>insert claim here</value>
        </claim>
    </required-claims>
</validate-jwt>

可以找到有关如何使用此政策的更多示例here