使用Azure AD通过OAuth2对Azure API管理进行身份验证

我正在通过阅读文章尝试通过OAuth2使用OAuth2保护APIM API：通过对Azure AD使用OAuth 2.0授权来保护Azure API管理中的Web API后端

AzureAPIM-OAuth2

• 授权端点URL（v1）：https : //login.microsoftonline.com/ {tenant}/oauth2/ authorize
• 令牌端点URL（v1）：https : //login.microsoftonline.com/ {tenant}/oauth2/ token
• 客户端ID：客户端应用ID
• 重定向URI :(不建议使用的门户）：https：//xxx-api.portal.azure-api.net/docs/services/auth1/console/oauth2/authorizationcode/callback

AzureAD-后端应用程序：

• 范围：Files.All

AzureAD-客户端应用程序：

• 机密密钥：xxx
• 重定向网址：仅适用于APIM中已弃用的门户网站（https://xxx-api.portal.azure-api.net/docs/services/auth1/console/oauth2/authorizationcode/callback）

对于Demo Conference API，将“验证JWT”策略添加到入站处理中，其中入站3a0cf09b-IDb7c31179-为后端应用程序应用ID：

在开发人员门户中，使用返回令牌对AzureAD进行身份验证成功：

但是，调用API会导致授权失败：

检查jwt.io中收到的令牌，我发现"aud": "00000003-0000-0000-c000-000000000000"不是后端应用程序应用程序ID：

{
  "aud": "00000003-0000-0000-c000-000000000000",
  "iss": "https://sts.windows.net/3a0cf09b-xxx/",
  "app_displayname": "client-app",
  "appid": "05a245fb-xxx",
  "scp": "Files.Read User.Read profile openid email",
  "tenant_region_scope": "OC",
  "tid": "3a0cf09b-2952-4673-9ace-0e1bf69ee23a",
  "unique_name": "[email protected]",
}

API测试HTTP响应跟踪显示validate-jwt上的错误：

validate-jwt (-0.138 ms)
{
    "message": "JWT Validation Failed: Claim value mismatch: aud=b7c31179-xxx.."
}

更换aud由值令牌00000003-0000-0000-c000-000000000000或取出required-claims的在validate-jwt政策得到它的工作。

Any idea please?