时间戳

首页 > 解决方案 > Azure API 管理无法使用 azure b2c 进行授权：签名失败

azure - Azure API 管理无法使用 azure b2c 进行授权：签名失败

问题描述

我已经在 b2c 中配置了后端应用程序 (api) 和 azure apim devportal（客户端应用程序）。我提供了从客户端应用程序访问后端 api 的权限。我已使用它在 azure api 管理中配置 oauth 身份验证。

我正在使用授权代码流。对于令牌验证，我使用了入站策略：

 <validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized" require-expiration-time="true" require-scheme="Bearer" require-signed-tokens="true" clock-skew="0">
        <openid-config url="https://<domain>/tenantid/v2.0/.well-known/openid-configuration?p=signinsignup_policy" />
        <required-claims>
            <claim name="aud">
                <value><appid for backend app></value>
            </claim>
        </required-claims>
    </validate-jwt>

在尝试从 apim 开发人员门户网站时，我在使用收到的令牌时遇到以下错误：。

JWT 验证失败：IDX10501：签名验证失败。无法匹配键

我已将后端 api 应用程序 ID 配置为资源，并将 user_impersonation 配置为默认范围。解码令牌我可以看到与 aud 相同的后端 appid。我也尝试使用 appid uri 作为资源，但看到同样的错误。

任何帮助表示赞赏。

标签： azureazure-ad-b2cazure-api-management

解决方案

有几种情况可能导致此错误。你检查了下面的线程

Azure AD B2C 错误 - IDX10501：签名验证失败

https://github.com/Azure-Samples/active-directory-dotnet-webapp-openidconnect-aspnetcore/issues/18

如果以上没有帮助：我假设您正在使用自定义策略。创建签名密钥和加密时，您必须遵循https://docs.microsoft.com/en-us/azure/active-directory-b2c/active-directory-b2c-get-started-custom中描述的步骤。

如果您在创建 TokenSigning 和 TokenEncryption 密钥时跳过或修改密钥类型/密钥用法，则有可能遇到该问题。

下面是我在将 B2C 与 API 管理集成时尝试的步骤。它按预期工作

高温高压

推荐阅读