使用 Postman 的 Azure FHIR 代理 - 401 您无权查看此目录或页面

Question

我已经使用本教程设置了一个带有 Azure FHIR 代理的 Azure FHIR 实例：

我无法在没有收到以下错误消息的情况下调用代理：

You do not have permission to view this directory or page.

我已经使用以下教程成功创建了一个令牌：

我已经在 Azure 中创建了一个具有访问 FHIR 代理权限的应用服务主体：

https://func-fhir-proxy-2.azurewebsites.net

我在邮递员中使用以下内容生成令牌：

授权 URL: https://login.microsoftonline.com/e34c8e67-182a-4085-9dc0-39a38dddea12/oauth2/authorize/?resource=https://func-fhir-proxy-2.azurewebsites.net

客户端 ID： 4d138742-44c0-42cb-9878-8647a1d2ef17

客户秘密：嗯..这是秘密！

范围： openid 配置文件

州：12345

邮递员 returns 3 个代币: Access_token, Refresh_token, Id_token.

我已经尝试了每个令牌和所有 return 相同的 401 错误。

ID 令牌 JWT 如下所示：

我尝试调用 FHIR 代理 API，由于教程我不是 100% 是正确的 URLs:

None 这行得通，我只是不断收到同样的错误。有谁知道我做错了什么？我应该使用令牌调用 FHIR 代理 API 吗？如果是，为什么 API 不让我进去？

Answer 1

以“.../api/fhirproxy/Patient”结尾的 link 对于代理部署是正确的。

我建议您做一个快速测试，看看您是否可以在没有代理的情况下访问 FHIR API。您可以使用现有部署并按照 https://docs.microsoft.com/en-us/azure/healthcare-apis/access-fhir-postman-tutorial.

中的说明进行操作

一旦你开始工作，用代理测试 FHIR API。您可以从禁用其安全性的代理开始（FHIR api 仍然需要安全性，您无法禁用它）。一旦你开始工作，你就可以启用代理的安全性。

由于代理是充当代理的网络应用程序，因此您需要两组凭据，一组用于 FHIR api 本身，您在代理应用程序中指定，另一组用于代理网络应用程序，您在客户端应用程序中指定，例如Postman 或 curl.

Answer 2

错误的原因其实很简单，你用错了scope。

通常 401 错误表示您令牌的受众与您的 api 不匹配。当您使用令牌调用 api 时，您将收到 401 未经授权的错误。访问令牌是根据受众颁发的，因此您必须确保在请求令牌时将 scope 设置为您的 api。当然你也可以解析token，检查aud声明，确定是你要调用的api

因此，根据您的要求，尝试将scope改为：https://func-fhir-proxy-2.azurewebsites.net/.default

顺便说一句，如果你想调用api，你应该使用访问令牌而不是刷新令牌和id令牌。

Answer 3

我设法解决了这个问题。发现auth中需要resource ID URL:

这可以从企业应用程序中获得：

此外，创建两个单独的应用程序注册：

Azure FHIR Proxy using Postman - 401 You do not have permission to view this directory or page