azure - 要上传到 Azure APIM 的客户端证书类型？

Question

我有一个 HTTP 触发的 Azure 函数，前面带有 Azure API 管理 (APIM)。

• 客户端证书设置为RequireAzure函数级别：

• 在APIM级别：

我需要将客户端证书（公共客户端证书）添加到某种“信任库”中。APIM 的“客户端证书”页面似乎等同于信任库。

问题是：APIM 在这里寻找什么类型的客户端证书？

• 应该只是客户的公共证书，对吧？
• 我不应该将这些存储在 Azure Key Vault 中，因为它们不包含私钥
• 我只需要检查请求中的客户端证书是否来自“受信任的来源”，以防止请求在未知客户端时到达我的应用程序代码。

标签： azureazure-functionsazure-api-managementclient-certificates

Answer 1

我认为这个文档对在 azure apim 中启用客户端证书身份验证有一个生动的解释。总结一下，您不必上传证书文件，因为您可以Thumbprint在策略中设置类似的值

<when condition="@(context.Request.Certificate == null 
       || context.Request.Certificate.Thumbprint != "456AAB1833DF842152605DF6C2B1DB2BBA29380D"
       || context.Request.Certificate.NotAfter<DateTime.Now)">

如果您上传证书，您可以像这样设置策略：

<when condition="@(context.Request.Certificate == null 
       || !context.Deployment.Certificates.Any(c => c.Value.Thumbprint == context.Request.Certificate.Thumbprint)
       || context.Request.Certificate.NotAfter<DateTime.Now)">

这是有关apim 客户端证书的相关官方文档。