如何使用函数身份验证或 Azure AD 服务主体对 Azure 函数进行身份验证

Question

我有一个 Azure 函数，用于从 Azure AD 获取数据，但我想限制谁可以使用该函数，因为它将使用 HTTP 触发器，以便我能够从逻辑应用程序稍后。 因此，由于 HTTP 触发的 Azure Functions 具有公共终结点，我想通过将授权级别设置为 Function 来提高安全性，或者更可取的是使用 Azure AD 服务主体（预先创建）。 进行此更改后，我可以通过将函数放入 URL 来进行调用。

基本网址： https://something.com/api/function_name

带有令牌的网址： https://something.com/api/function_name?code=token_here

但是，我的函数需要给出一些输入。 在匿名端点上，您可以像这样扩展基本 URL： https://something.com/api/function_name/?parameter=value

其中参数是代码所期望的，以及在代码中传递给变量的值。 现在我是这个 HTTP 端点的新手，并通过 URL 传递值。我知道这是作为 JSON 传递的（可能）

但我不明白如何同时进行功能授权和传入参数。 我试过了：

https://something.com/api/function_name/?parameter=value?code=token_here
https://something.com/api/function_name?code=token_here/?parameter=value

有人知道这应该如何工作吗？

另一方面，我还可以将 Platform Features -> Authentication / Authorization 设置为 Azure AD 服务主体。但是，如何更改 URL 以使用该服务主体的 client_id 和 client_secret 进行身份验证？ 我实际上更喜欢使用这种方法，因为这样我可以对令牌实施生命周期管理并对其进行轮换以使其更加安全。

我看过这里： Azure function with Azure AD authentication access using JavaScript

而我在 stackoverflow 上找到的大多数其他主题甚至都没有接近。

PS：这个 PS 不需要答案，但我会很感激任何想法。 我正在制作的这个东西是一个结合了（预定）逻辑应用程序的工作流，它触发了Get-Function。 Get-Function 需要以某种方式触发Update-Function。我正在触发Get-Function HTTP，以便我还能够将其作为 API 提供，以使该功能可用于自动化。 （允许在不需要 Azure AD 权限的人的情况下通过 API 调用轮换机密） 然后，更新功能需要轮换（特定）应用程序/服务主体上的机密。 Azure Function 基于 v2 并使用 Powershell Core 作为语言。

Answer 1

如果你想使用Platform Features -> Authentication / Authorization (Easy Auth) 来保护你的匿名http触发函数，你可以按照以下步骤：

1. 启用身份验证/授权（简易身份验证），使用 Azure AD 快速模式：

点击保存。完成此过程后，请记下您的功能广告应用的 client_id，我们稍后将使用它。

1. 创建 Azure AD 应用程序

为其创建一个客户端密码，记下客户端密码值和新的 Azure AD 应用 ID：

1. 发出请求以从您的 Azure AD 获取访问令牌，以便我们可以调用您的 http 触发函数：

Request URL:
POST https://login.microsoftonline.com/<-your tenant id/name->/oauth2/token

Request Header:
Content-Type: application/x-www-form-urlencoded

Request Body:
grant_type=client_credentials
&resource=<-function App ID->
&client_id=<-new Azure AD App ID->
&client_secret=<-client secret of new Azure AD App ID->

如下：

正如您在响应中看到的那样，您可以获得访问令牌，因此在 http 请求标头 Authorization 参数中使用此令牌来调用启用了简易身份验证的 http 触发函数，所有没有正确授权标头的请求都将被阻止：

如果对你有帮助，请标记我。