Azure API管理和身份验证

Question

我们有一个简单的asp.net核心服务。我们想为用户提供某种密钥保护。但是，如何保护asp.net核心api服务不被直接使用？通常如何确保只有API管理才能通过API管理调用服务和订户？

Answer 1

我认为您已经了解Protect a web API backend in Azure API Management by using OAuth 2.0 authorization with Azure AD。

您要限制用户只能通过APIM访问您的API。

有几种选择：

• 在APIM中设置特定的标头/值，然后在您的后端API中对其进行检查。
• 在您的Web API中配置IP限制，并将其设置为APIM的VIP。

参见类似的帖子here。

更新：

基于此answer添加其他两种方法：

• 使用client certificate authentication保护后端服务 在Azure API管理中
• 将APIM和后端API放在同一VNET中（停止从外部访问） 保护API。