验证 Azure APIM 策略中的多个颁发者

Question

我工作的公司多年来收购了多种产品。
我们一直在开发共享的微服务生态系统。
产品（当前）对不同的 IDP（例如 Auth0、Azure B2C）进行身份验证。后端微服务可以很好地处理多个颁发者，但我们还希望在 API 网关 - Azure APIM 上进行身份验证检查，并在 JWT 访问令牌无效时进行短路。

如何在 Azure APIM 中验证多个颁发者？

在文档中，我可以看到我可以指定多个颁发者，但只有 1 个 openid-config。如果只有 1 个 openid-config，如何获取多个发行者的公共签名密钥？据推测，它是为了获取 JWKS 端点，然后获取信息来验证令牌签名......

以下是我正在讨论的 APIM（入站）政策的一部分：

<validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized" require-expiration-time="true" require-signed-tokens="true">
    <openid-config url="https://example-company.au.auth0.com/.well-known/openid-configuration" />
    <audiences>
        <audience>test</audience>
        <audience>blah</audience>
    </audiences>
    <issuers>
        <issuer>https://example-company.au.auth0.com</issuer>
        <issuer>http://contoso.com/</issuer>
    </issuers>
</validate-jwt>

Answer 1

这可以通过首先解码令牌并when在验证其中一项声明之前添加条件来完成。

<set-variable 
   name="iss" 
   value="@(context.Request.Headers.GetValueOrDefault("Authorization", "")?.Split(' ')?.ElementAtOrDefault(1)?.AsJwt()?.Claims["iss"]?.FirstOrDefault() ?? "")" 
/>
<choose>
    <when condition="@(context.Variables.GetValueOrDefault("iss", "").Equals("myIssuer.com"))">
       <validate-jwt configuration1... />
    </when>
    <otherwise>
       <validate-jwt configuration2... />
    </otherwise>
</choose>

Answer 2

只是为了澄清；我工作的公司有多种产品，每个产品都有一个单独的 IDP 和/或租户 - 基本上产品之间没有交叉使用。

该validate-jwt策略仅允许 1 个openid-config元素，但对于我的场景，我有多个 OpenId 配置...

我设法通过执行以下操作来解决此问题：

<choose>
    <when condition="@(context.Request.Headers.GetValueOrDefault("X-ProductCode","") == "XYZ")">
        <validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized" require-expiration-time="true" require-signed-tokens="true">
            <openid-config url="https://xyz.au.auth0.com/.well-known/openid-configuration" />
            <audiences>
                <audience>xyz-audience1</audience>
            </audiences>
        </validate-jwt>
    </when>
    <when condition="@(context.Request.Headers.GetValueOrDefault("X-ProductCode","") == "ABC")">
        <validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized" require-expiration-time="true" require-signed-tokens="true">
            <openid-config url="https://abc.au.auth0.com/.well-known/openid-configuration" />
            <audiences>
                <audience>abc-audience1</audience>
                <audience>abc-audience2</audience>
            </audiences>
        </validate-jwt>
    </when>
</choose>