如何在 Azure APIM 中正确传递不记名令牌？

Question

我正在尝试将一个不记名令牌从我通过 API 订阅的另一个 API 传递到我的 APIM 中。我的想法是添加入站处理，添加一个添加“授权”和“承载 xxxxxxxxxxxxxxxxxxxxx”的设置标头。所以我想知道这是否足够安全，因为我不希望我的不记名令牌公开，我不确定这是否可以在 APIM 本身之外进行追踪。

是否有更好的解决方案？

我在微软文档中找到了这个https://learn.microsoft.com/en-us/azure/api-management/policies/use-oauth2-for-authorization，但我不确定它是否也有效不记名令牌未链接到 Azure AD。但也许使用“发送请求”会让我走上正轨？

亲切的问候

Answer 1

您可以将机密存储在 Azure 密钥保管库中。在 APIM 命名属性中定义机密。您应该很好地安全地发送您的令牌 - “myToken”

<set-header name="Authorization" exists-action="override">
     <value>Bearer {{myToken}}</value>
</set-header>

参考： https: //learn.microsoft.com/en-us/azure/api-management/api-management-howto-properties? tabs=azure-portal