使用NGINX和Azure Active Directory保护API访问

NGINX | 2022年10月06日

API在应用连接中发挥着关键作用，但也容易受到攻击。过去，单体应用只有一个需要保护的入口点。在微服务架构中，单个应用通常由许多通过API连接的微服务组成，而每个API都可能有数百个端点。因此，API的潜在攻击面非常大，每新增一个API，都会在安全边界上增加一个入口点。

保护API安全有多种策略，其中最基本的策略之一是访问控制。简单来说，必须验证用户身份（身份验证，即AuthN），并确认用户可以访问特定资源（授权，即AuthZ）。实施OpenID Connect（OIDC）是API最常用的访问控制方法之一。借助API Connectivity Manager，只需几分钟即可完成部署并开始运行。该产品是F5 NGINX Management Suite的一部分。

本教程将介绍如何使用API Connectivity Manager和Azure Active Directory（Azure AD）设置JSON Web令牌（JWT）验证，以完成OIDC工作流中的授权环节。

什么是OpenID Connect？

OpenID Connect（OIDC）是一种基于OAuth 2.0协议构建的身份协议。OIDC允许客户端验证最终用户或设备的身份。这是访问控制的一部分；访问控制包括身份验证和授权：

身份验证用于验证用户或设备的身份是否与其声明一致
授权用于确定经过验证的用户或设备可以访问哪些资源

OIDC有多种不同的实现方式，包括本教程中将使用的Azure AD。也可以将其他OIDC解决方案与API Connectivity Manager配合使用，例如F5 BIG-IP Access Policy Manager (APM)、Okta、Auth0、Ping Identity等。

开始前的准备

请确保满足以下先决条件：

API Connectivity Manager 已在您的环境中安装并配置
有效的Microsoft Azure帐户
REST客户端（Postman，本教程使用该客户端）

如果需要访问API Connectivity Manager，可以注册NGINX Management Suite 30天免费试用。

创建Azure AD应用程序

打开浏览器并登录Azure Portal。

在左侧菜单中，点击“应用注册”。

图1：Azure AD门户主页

单击“新建注册”按钮。

图 2：Azure AD 应用注册

要创建新应用，请提供名称、重定向 URI，然后单击注册按钮。在此演示中，将使用Postman，因此需要使用Postman OIDC 重定向 URI。

图 3：创建新的 Azure AD 应用

应用创建完成后，需要创建OAuth作用域以提供API访问权限。点击左侧菜单中的“公开API”链接。

图 4：公开 API

单击“添加范围”。

图 5：添加作用域

接受默认的应用程序 ID URI，或自行创建一个，然后单击“保存并继续”按钮。如果要自行创建应用程序 ID URI，必须先在 Azure AD 中注册所需的域。

图 6：应用 ID URL

在本演示中，作用域基于Microsoft提供的示例。请填写以下信息，然后单击“添加作用域”按钮：

范围名称： Employees.Read.All
谁可以同意？： 管理员和用户
管理员同意显示名称： 对员工记录的只读访问权限
管理员同意说明： 允许以只读方式访问所有员工数据。
用户同意显示名称： 对您的员工记录的只读访问权限
用户同意说明： 允许以只读方式访问您的员工数据。