Перенаправляет ли APIM один и тот же токен-носитель в серверный API? | OAuth 2.0 и Azure AAD

По первому вопросу:

Согласно некоторому тесту с моей стороны, кажется, что APIM может автоматически пересылать один и тот же токен-носитель в бэкэнд API, без добавления какой-либо политики.

Я создал api в APIM для вызова api графа microsoft (список пользователей) в бэкэнде. Тест для запуска APIM api, он показывает 401 неавторизованную ошибку. Затем я тестирую, предоставляя токен-носитель в заголовках APIM api, как показано на скриншоте ниже:

Он выполняет успешно и отвечает на список пользователей. Таким образом, токен-носитель может автоматически пересылаться на серверный API.

По второму вопросу:

Если вы хотите отслеживать журналы для backend api, я думаю, вы можете просто сделать это в коде backend вашего api.

Чтобы проверить токен в своем внутреннем API, вы можете декодировать токен jwt в своем внутреннем коде API, а затем проверить значение утверждения в токене (ниже я предоставляю образец для декодирования токена jwt и получения значения iss утверждения)

using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Text;
using System.Threading.Tasks;

namespace ConsoleApp5
{
    class Program
    {
        static void Main(string[] args)
        {
            var stream = "your access token";
            var handler = new JwtSecurityTokenHandler();
            var jsonToken = handler.ReadToken(stream);
            var tokenS = handler.ReadToken(stream) as JwtSecurityToken;

            var iss = tokenS.Claims.First(claim => claim.Type == "iss").Value;
            Console.WriteLine(iss);
            //Then check if "iss" matches the value you specified.

            Console.ReadLine();
        }
    }
}