为什么需要为Azure添加已受Azure AD保护的OAuth 2.0服务

Backgournd:

我们的团队使用Azure AD对Azure中属于我们的资源进行身份验证和授权。AKA，您需要通过您的工作ID登录以验证它是否属于我们组。这就是团队成员如何使用我们拥有的API服务

问题：

---

有人建议在API之上添加OAuth 2.0授权。我在这里感到困惑。它只在内部使用，受Azure AD保护。而Azure AD登录本身并不是某种OAuth 2.0身份验证？

如果API没有任何保护，这意味着任何人都可以点击端点并从API获取信息。例如，如果某个随机的人以某种方式将手机连接到您的wifi网络或硬线笔记本电脑，如果端点上没有身份验证/授权，他们可以直接查询api。或者，如果它在azure功能或其他方面，那么很可能任何人都可以在互联网上访问它

---

我很好奇你所说的受azure ad保护的资源是什么意思。你到底在哪里设置的？例如，如果您使用azure函数作为api端点，并且在azure函数应用程序上激活了azure ad身份验证/授权，则您的api层是安全的，您可以访问代码中的用户令牌。在这种情况下，无需进一步操作。

如果您的数据是敏感的，如私人用户数据，则需要在API上设置某种安全层。此外，使用OAuth或其他基于令牌的安全性可以帮助您在整个用户群中构建更好的权限检查。