Azure API Managementのドメイン検証

Azure API Management (APIM) でホストされているドメインを確認するには、通常 azure-api.netペンテストでは、以下の手順を完了してください。

APIM では静的ファイルを直接アップロードできないため、 aikido.txt ファイルをホストする代わりに、Aikido が要求したときに検証トークンを返すインバウンドポリシーを構成します /aikido.txt.

検証プロセスを開始する

ドメイン検証を設定できる、ペンテストのオンボーディングフローの最終ステップに進みます。
［検証］をクリック

Azure APIM ドメインを見つけて［Verify］をクリックします。これにより、ファイルアップロードの確認フローが開始されます。
検証コードをコピーする

Aikido に表示される確認コードをコピーします。次の手順で、このコードを APIM ポリシーに貼り付けます。

API にインバウンドポリシーを追加する

Azure ポータルで API Management インスタンスを開き、 APIに移動し、確認したいドメインを提供している API を選択して、 デザイン タブを開きます。 インバウンド処理 セクションで、コードエディター（</>）をクリックし、ポリシーを以下のスニペットに置き換えます。

置き換えてください AIKIDO_DOMAIN_VALIDATION_TOKEN_HERE を、Aikido からコピーした確認コードに置き換えます。

<policies>
  <inbound>
    <base />
    <choose>
      <when condition="@(context.Request.OriginalUrl.Path == "/aikido.txt")">
        <return-response>
          <set-status code="200" reason="OK" />
          <set-header name="Content-Type" exists-action="override">
            <value>text/plain</value>
          </set-header>
          <set-body>AIKIDO_DOMAIN_VALIDATION_TOKEN_HERE</set-body>
        </return-response>
      </when>
    </choose>
  </inbound>
  <backend>
    <base />
  </backend>
  <outbound>
    <base />
  </outbound>
</policies>

ポリシーを保存して反映させます。

検証成功

検証に成功すると、Aikido に確認トーストが表示されます。その後、 <when> 必要がなくなったら、ポリシーからこのブロックを削除できます。