使用 Postman 的 Azure FHIR 代理 - 401 您无权查看此目录或页面

我已经使用本教程使用 Azure FHIR 代理设置了 Azure FHIR 实例：

我无法在没有收到以下错误消息的情况下调用代理：

You do not have permission to view this directory or page.

我已使用以下教程成功创建了令牌：

我在 Azure 中创建了一个具有访问 FHIR 代理权限的应用服务主体：

https://func-fhir-proxy-2.azurewebsites.net

我在邮递员中使用以下内容生成令牌：

验证网址： https://login.microsoftonline.com/e34c8e67-182a-4085-9dc0-39a38dddea12/oauth2/authorize/?resource=https://func-fhir-proxy-2.azurewebsites.net

访问令牌网址： https://login.microsoftonline.com/e34c8e67-182a-4085-9dc0-39a38dddea12/oauth2/token

客户端 ID： 4d138742-44c0-42cb-9878-8647a1d2ef17

客户秘密：好吧..这是一个秘密！

范围：openid 个人资料

状态： 12345

Postman 返回 3 个令牌：Access_token、Refresh_token、Id_token。

我尝试了每个令牌，但都返回相同的 401 错误。

ID 令牌 JWT 如下所示：

我尝试调用 FHIR 代理 API，由于教程的原因，我不是 100% 是正确的 URL：

这些都不起作用，我只是不断收到同样的错误。有谁知道我做错了什么？我应该使用令牌调用 FHIR 代理 API 吗？如果是这样，为什么 API 不让我进入？

以“.../api/fhirproxy/Patient”结尾的链接对于代理部署是正确的。

我建议您进行快速测试，以确保无需代理即可访问 FHIR API。您可以使用现有部署并按照 https://docs.microsoft.com/en-us/azure/healthcare-apis/access-fhir-postman-tutorial 中的说明进行操作。

一旦您开始工作，请使用代理测试 FHIR API。您可以从禁用其安全性的代理开始（FHIR api 仍然需要安全性，您无法禁用它）。一旦你开始工作，你就可以启用代理的安全性。

由于代理是一个充当代理的网络应用程序，您将需要两组凭据，一组用于 FHIR api 本身，您在代理应用程序中指定，另一组用于代理 Web 应用程序，您在您的客户端应用程序中指定，例如邮递员或卷发。

错误的原因其实很简单，你用错了scope。

通常 401 错误意味着您的令牌的受众与您的 api 不匹配。使用token调用api时，会收到401未授权错误。访问令牌是根据受众发布的，因此您必须确保在请求令牌时将 scope 设置为您的 api。当然你也可以解析token，检查aud声明，确定是你要调用的api。

因此，根据您的要求，尝试将scope更改为：https://func-fhir-proxy-2.azurewebsites.net/.default

顺便说一句，如果你想调用api，你应该使用access token而不是refresh token和id token。

我设法解决了这个问题。我发现auth URL中需要资源ID：

这可以从企业应用程序获得：

此外，创建两个单独的应用注册：