你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用 Azure API 管理中的客户端证书身份验证确保后端服务安全

适用于：所有 API 管理层级

API 管理允许你使用客户端证书和相互 TLS 身份验证确保对 API 后端服务进行安全访问。 本指南介绍如何使用 Azure 门户在 Azure API 管理服务实例中管理证书。 它还说明了如何配置 API 以使用证书来访问后端服务。

你还可以使用 管理 REST API管理 API 管理证书。

证书选项

API 管理提供了两个选项来管理用于确保对后端服务进行安全访问的证书：

• 引用 Azure Key Vault 中托管的证书
• 直接在 API 管理中添加证书文件

建议使用密钥保管库证书，因为它有助于提高 API 管理安全性：

• 密钥保管库中存储的证书可以在服务上重复使用
• 粒度访问策略 可应用到密钥保管库中存储的证书
• 密钥保管库中更新的证书会在 API 管理中自动轮换。 在密钥保管库中更新后，API 管理中的证书会在 4 小时内更新。 你还可以使用 Azure 门户或通过管理 REST API 手动刷新证书。

先决条件

注意

建议使用 Azure Az PowerShell 模块与 Azure 交互。 若要开始，请参阅安装 Azure PowerShell。 若要了解如何迁移到 Az PowerShell 模块，请参阅 将 Azure PowerShell 从 AzureRM 迁移到 Az。

• 如果尚未创建 API 管理服务实例，请参阅创建 API 管理服务实例。

• 应将后端服务配置为进行客户端证书身份验证。 若要在 Azure 应用服务中配置证书身份验证，请参阅此文。

• 需要有权访问证书以及 Azure 密钥保管库中用于管理的密码，或上传到 API 管理服务。 证书必须采用 PFX 格式。 允许使用自签名证书。

  如果使用自签名证书：

  • 在 API 管理实例中安装受信任的根和中间 CA 证书。

    注意

    “消耗”层不支持用于证书验证的 CA 证书。

  • 禁用证书链验证

密钥保管库集成的先决条件

注意

目前无法在工作区中使用此功能。

1. 如果还没有密钥保管库，请创建一个。 有关创建密钥保管库的步骤，请参阅快速入门：使用 Azure 门户创建密钥保管库。

   若要创建证书或将证书导入密钥保管库，请参阅快速入门：使用 Azure 门户从 Azure 密钥保管库设置和检索证书。

2. 在 API 管理实例中启用系统分配的或用户分配的托管标识。

配置对密钥保管库的访问权限

1. 在门户中导航到你的密钥保管库。

2. 在左侧菜单中，选择“访问配置”，并记下配置的权限模型。

3. 根据权限模型，为 API 管理托管标识配置密钥保管库访问策略或 Azure RBAC 访问。

   添加密钥保管库访问策略：
   

   1. 在左侧菜单中，选择“访问策略”。
   2. 在“访问策略”页上，选择“+ 创建”。
   3. 在“权限”选项卡上的“机密权限”下，选中“获取”和“列出”，然后选择“下一步”。
   4. 在“主体”选项卡上的“选择主体”中，搜索托管标识的资源名称，然后选择“下一步”。 如果你使用系统分配的标识，则主体为你的 API 管理实例的名称。
   5. 再次选择“下一步”。 在“查看 + 创建”选项卡上，选择“创建”。

   配置 Azure RBAC 访问：
   

   1. 在左侧菜单中，选择“访问控制(IAM)”。
   2. 在“访问控制(IAM)”页上，选择“添加角色分配”。
   3. 在“角色”选项卡上，选择“密钥保管库证书用户”。
   4. 在“成员”选项卡上，选择“托管标识”>“选择成员”。
   5. 在“选择托管标识”页上，选择系统分配的托管标识或与 API 管理实例关联的用户分配的托管标识，然后选择“选择”。
   6. 选择“查看 + 分配”。

Key Vault 防火墙要求

如果在密钥保管库上启用了 Key Vault 防火墙，则具有以下附加要求：

• 必须使用 API 管理实例的“系统分配的”托管标识来访问密钥保管库。

• 在 Key Vault 防火墙中，启用“允许受信任的 Microsoft 服务绕过此防火墙”选项。

• 在选择要添加到 Azure API 管理的证书或机密时，请确保允许本地客户端 IP 地址临时访问密钥保管库。 有关详细信息，请参阅配置 Azure Key Vault 网络设置。

  完成配置后，可以在密钥保管库防火墙中阻止客户端地址。

虚拟网络要求

如果 API 管理实例部署在虚拟网络中，则还应配置下列网络设置：

• 在 API 管理子网上，启用 Azure Key Vault 的服务终结点。
• 配置一个网络安全组 (NSG) 规则，以允许指向 AzureKeyVault 和 AzureActiveDirectory 服务标记的出站流量。

有关详细信息，请参阅在 VNET 中设置 Azure API 管理时使用的网络配置。

添加密钥保管库证书

请参阅密钥保管库集成的先决条件。

重要

将密钥保管库证书添加到 API 管理实例时，必须有权列出密钥保管库中的机密。

注意

在 API 管理中使用密钥保管库证书时，请注意不要删除证书、密钥保管库或用于访问密钥保管库的托管标识。

将密钥保管库证书添加到 API 管理：

1. 在 Azure 门户，导航到 API 管理实例。

2. 在“安全性”下，选择“证书” 。

3. 选择“证书”>+ 添加” 。

4. 在“Id”中，输入所选的名称。

5. 在“证书”下，选择“密钥保管库” 。

6. 输入密钥保管库证书的标识符，或选择“选择”来选择密钥保管库中的证书。

   重要

   如果你自己输入密钥保管库证书标识符，请确保它不包含版本信息。 否则，在密钥保管库中更新后，证书不会在 API 管理中自动轮换。

7. 在“客户端标识”中，选择一个系统分配的托管标识，或一个现有的用户分配的托管标识。 了解如何在 API 管理服务中添加或修改托管标识。

   注意

   标识需要从密钥保管库获取和列出证书的权限。 如果你尚未配置对密钥保管库的访问权限，则 API 管理会提示你，你可以让其自动为标识配置必要的权限。

8. 选择 添加 。

   

9. 选择“保存”。

上传证书

将客户端证书上传到 API 管理：

1. 在 Azure 门户，导航到 API 管理实例。

2. 在“安全性”下，选择“证书” 。

3. 选择“证书”>+ 添加” 。

4. 在“Id”中，输入所选的名称。

5. 在“证书”下，选择“自定义” 。

6. 浏览以选择证书 .pfx 文件并输入其密码。

7. 选择 添加 。

   

8. 选择“保存”。

证书上传后，会显示在“证书”窗口中。 如果有多个证书，请记下所需证书的指纹，以便将 API 配置为使用客户端证书进行网关身份验证。

将 API 配置为使用客户端证书进行网关身份验证

1. 在 Azure 门户，导航到 API 管理实例。

2. 在“API”下选择“API” 。

3. 从列表中选择 API。

4. 在“设计”选项卡中，选择“后端”部分中的编辑器图标 。

5. 在“网关凭据”中，选择“客户端证书”，然后从下拉列表中选择证书 。

6. 选择“保存”。

   

注意

此更改立即生效，对该 API 的操作进行调用时，会使用证书在后端服务器上进行身份验证。

提示

为 API 的后端服务指定证书进行网关身份验证时，此证书会成为该 API 策略的一部分，并可在策略编辑器中查看。

禁用自签名证书的证书链验证

如果你使用的是自签名证书，则将需要禁用证书链验证，以便 API 管理与后端系统进行通信。 否则，它将返回 500 错误代码。 若要配置此项，可以使用 New-AzApiManagementBackend（适用于新后端）或 Set-AzApiManagementBackend（适用于现有后端）PowerShell cmdlet 并将 -SkipCertificateChainValidation 参数设置为 True。

$context = New-AzApiManagementContext -resourcegroup 'ContosoResourceGroup' -servicename 'ContosoAPIMService'
New-AzApiManagementBackend -Context  $context -Url 'https://contoso.com/myapi' -Protocol http -SkipCertificateChainValidation $true

还可以使用后端 REST API 禁用证书链验证。

删除客户端证书

若要删除证书，请选择该证书，然后从上下文菜单 (...) 中选择“删除” 。

重要

如果证书被某个策略引用，则会显示警告界面。 若要删除证书，必须先将证书从配置为使用该证书的策略中删除。

后续步骤

• 如何使用 API 管理中的客户端证书身份验证确保 API 安全
• 如何在 Azure API 管理中添加自定义 CA 证书
• 了解 API 管理中的策略