从 azure apim 导出的 OAS 中的安全和策略

Question

让 \xe2\x80\x99s 说我有不同的后端服务，在 azure api 管理 (apim) 中公开它们的 api。不同的服务依赖于不同的安全方法，例如jwt令牌和订阅密钥。后端开发人员指定这些差异并使用 OpenApi 规范 (OAS) 将其上传到 apim。然后我发现安全定义被忽略，那么开发人员必须在哪里指定此信息？而是在描述中？或者在 apim 中传递安全信息的正确方法是什么。

\n

此外，apim 可以设置有关安全的策略。这些政策也没有在美洲国家组织中公开。然而，除了订阅密钥之外，这只是默认行为，即使在 apim 的 api 设置中禁用了需要订阅的标签，订阅密钥仍然存在于 OAS 中。

\n

那么，当 OAS 中不存在后端服务安全性和 apims 安全性时，如何告知用户相关信息呢？我是否缺少某些配置？

\n

我的 apim 的想法是拥有不同的后端服务供应商，这样他们就可以有不同的安全级别 - 可以在 OAS 中指定 - 但不会在 apim 的导出版本中提供任何内容。

\n

此外，我作为 apim 的所有者将设置一些安全设置 - 这些设置仍然不会出现在 OAS 中。那么消费者应该怎么做才能了解如何使用下载的 OAS\xe2\x80\x99s 中公开的后端端点呢？

\n

Answer 1

解决此问题的一种方法是将密钥和机密存储在 Azure Key Vault 上，并从前端应用程序访问它们。

另一种方法是将 Dapr 与 APIM 一起使用。Dapr 有助于构建事件驱动的、有弹性的分布式应用程序。为了使用应用程序机密，Dapr 有一个专用的机密构建块 API，允许开发人员从机密存储中获取机密。

查看此秘密管理文档以获取更多信息。

Azure API 管理 (APIM) 服务中的 Dapr 集成去年才发布。这项新功能使运营团队能够直接将 Dapr 微服务公开为 API，并使这些 API 可供开发人员发现和轻松使用。

您可以查看此 Microsoft 文档以获取更多信息。 Azure API 管理服务中的 Dapr 集成。