HTTP con el identificador de Entra de Microsoft (autenticado previamente)

Use el conector HTTP para capturar recursos de varios servicios web, autenticados por el identificador de Microsoft Entra o desde un servicio web local.

Este conector está disponible en los siguientes productos y regiones:

Compatibilidad con redes virtuales (delegación de subred)

Cuando el conector se utiliza en un entorno de Power Platform vinculado a una red virtual, se aplican limitaciones:

• Las siguientes acciones NO son acciones admitidas:
  • Obtención de recursos web

Problemas conocidos y limitaciones

1. El conector codifica el cuerpo de la solicitud en codificación base64, por lo que debe usarse para llamar a los servicios back-end que esperan el cuerpo de la solicitud en este formato. No puede usar este conector para llamar a un servicio back-end que espera el cuerpo de la solicitud en formato binario sin formato.

2. Si recibe un error similar al siguiente:

• { "error": { "code": "Forbidden", "message": "" } }
• { "error": { "code": "Authorization_RequestDenied", "message": "Insufficient privileges to complete the operation." } } después, podría deberse a que este conector tiene un conjunto limitado de ámbitos.
• Los usuarios también pueden enfrentar errores de autorización previa al conectarse a algunos recursos que no se admiten.
• Si el escenario requiere algo más avanzado, use el conector "HTTP" o cree un conector personalizado.

3. El conector se basa en el registro de aplicaciones multiinquilino. La aplicación no puede saber desde qué inquilino es el usuario hasta que el usuario inicia sesión en él. Por lo tanto, solo se admite la especificación de recursos en el inquilino predeterminado de los usuarios ("common").

4. No se admiten los recursos basados en el inicio de sesión único de ADFS (Servicios de federación de id. de Microsoft Entra para Sign-Onúnico). Como solución alternativa, use el conector "HTTP".

5. Al usar este conector en un entorno de nube nacional, el recurso debe ser su punto de conexión de nube nacional equivalente. Los intentos de intentar conectarse a la nube pública (https://graph.microsoft.comhttps://bing.compor ejemplo) de la mayoría de los entornos de nube nacionales producirán un error de autorización previa.

   • Los entornos de GCC y Fairfax pueden seguir usando puntos de conexión de nube pública (https://graph.microsoft.compor ejemplo).
   • GCC-High ejemplo de recurso: https://graph.microsoft.us.
   • Ejemplo de recurso de China: https://microsoftgraph.chinacloudapi.cn.

6. El uso del encabezado de solicitud de autorización de cookies no se admite en caso de conexión habilitada para la puerta de enlace de datos local.

7. No se admite el patrón asincrónico basado en el encabezado location de respuesta. Use el conector de Azure Resource Manager en su lugar si procede.

8. Para que el conector "HTTP con Id. de Entra de Microsoft" recupere correctamente los datos de otro servicio, se debe conceder acceso a la aplicación usada por el conector al ámbito necesario. Para obtener más información sobre cómo conceder el acceso necesario a la aplicación, consulte Autorización de la aplicación para que actúe en nombre de un usuario que ha iniciado sesión. Si no se concede el acceso necesario, puede recibir uno de los siguientes errores al intentar crear la conexión:

   Consent Required: To enable the HTTP With Microsoft Entra ID connector to access resources on behalf of a signed-in user, grant consent to this application.
   

   

   Si se ha concedido un ámbito (permiso), pero no se incluyen todos los ámbitos necesarios, la creación de la conexión se realizará correctamente, pero se producirá un error Prohibido (403) en tiempo de ejecución. Los detalles del error pueden incluir información adicional, como:

   "code": "Authorization_RequestDenied"
   "message": "Insufficient privileges to complete the operation."
   
   

9. Si se producen problemas al crear una conexión o se recibe un error en torno a un valor de parámetro que falta, intente crear una conexión con el Diseñador antiguo de Power Automate en lugar del Diseñador nuevo.

10. La eliminación o adición de autenticaciones previas puede tardar hasta 1 hora en reflejarse para las conexiones existentes antes de la actualización. Sin embargo, las nuevas conexiones deben reflejar las autorizaciones actualizadas al instante.

Autorización del conector para que actúe en nombre de un usuario que ha iniciado sesión

Como usuario con el rol de administrador global, debe crear oAuth2PermissionGrants para aprobar los permisos necesarios (ámbitos) para el servicio necesario.

Por ejemplo, si usa Microsoft Graph (https://graph.microsoft.com) y necesita leer información del calendario, puede seguir la documentación de Graph para identificar los permisos necesarios (Calendar.Read). Al conceder a la aplicación (usada por el conector) el ámbito Calendar.Read, permitirá que la aplicación acceda a estos datos desde el servicio en nombre del usuario. Una cosa importante que hay que tener en cuenta es que los datos a los que puede acceder la aplicación todavía están limitados a los datos a los que el usuario tiene acceso en el servicio. No es posible usar Azure Portal para conceder consentimiento a esta aplicación. Por este motivo, Microsoft ha creado un script de PowerShell para simplificar la concesión de consentimiento a la aplicación usada por http con el conector De id. de Microsoft Entra.

1. Descargue el script de PowerShell necesario desde aquí o cree un script denominado "ManagePermissionGrant.ps1" que haga referencia a los pasos mencionados aquí. Este script es principalmente para referencia, puede modificar el script según el caso de uso.

2. Haga clic con el botón derecho en el archivo ManagePermissionGrant.ps1 descargado y, a continuación, haga clic en Propiedades.

3. Haga clic en la casilla Desbloquear y, a continuación, haga clic en Aceptar.

   

   Si no activa la casilla Desbloquear, recibirá un error que indica que no se puede cargar el script porque no está firmado digitalmente.

4. Abra una ventana de comandos de PowerShell.

5. Cambie la ruta de acceso a la ubicación donde descargó el script.

6. Escriba el siguiente comando y presione Entrar:

   .\ ManagePermissionGrant.ps1
   

   

7. Se le pedirá que elija si desea autenticarse en Azure Global (recomendado) o seleccionar entre una lista (avanzada). Si no se conecta a suscripciones en US Gov, US Gov DoD, China o Alemania, presione Entrar.

   

8. Si aún no lo ha hecho, es posible que se le pida que se autentique en la plataforma de identidad de Microsoft en una nueva ventana del explorador. Autentíquese como usuario con el rol De administrador global.

9. Para conceder consentimiento a algunos de los servicios más usados, como Microsoft Graph o SharePoint, presione Entrar. Si el servicio al que necesita dar su consentimiento no está en la lista de aplicaciones usadas habitualmente, use la opción A.

   

10. Aparecerá un cuadro de diálogo. Seleccione la aplicación que desea dar su consentimiento para permitir que el conector actúe en nombre de un usuario. Puede usar el cuadro de texto de la parte superior para filtrar los resultados.

    

11. Haz clic en Aceptar.

12. Seleccione uno o varios ámbitos (permisos) a los que desea dar su consentimiento y, a continuación, haga clic en Aceptar. Se pueden seleccionar varios ámbitos presionando y manteniendo presionada la tecla CTRL mientras se seleccionan filas.

13. En la ventana de PowerShell, se le pedirá que elija el tipo de consentimiento. Puedes elegir si quieres permitir que la aplicación actúe en nombre de cualquier usuario que haya iniciado sesión o si quieres limitar el consentimiento a un usuario específico. Si desea proporcionar consentimiento para todos los usuarios, presione Entrar. Si desea proporcionar consentimiento solo para un usuario específico, escriba N y presione Entrar. Si decide dar su consentimiento a un usuario específico, se le pedirá que seleccione el usuario.

14. Si el consentimiento de cualquier ámbito ya existe para el recurso seleccionado, se le pedirá que elija si desea eliminar primero las concesiones existentes. Si desea eliminar las concesiones existentes, escriba Y y presione Entrar. Si desea conservar las concesiones existentes, presione Entrar.

15. Se mostrará un resumen de los ámbitos seleccionados en la ventana de PowerShell. Si desea continuar con la concesión de los ámbitos seleccionados, escriba Y y presione Entrar.

16. Si el script puede conceder el consentimiento correctamente, verá un mensaje que indica que se completó la ejecución del script.

Creación de una conexión

El conector admite los siguientes tipos de autenticación:

Inicio de sesión con una puerta de enlace básica

Identificador de autenticación: BasicGateway

Aplicable: Todas las regiones

Uso de una puerta de enlace web básica para conectarse a los recursos HTTP

Se trata de una conexión que se puede compartir. Si la aplicación de energía se comparte con otro usuario, también se comparte la conexión. Para más información, consulte introducción a los conectores para aplicaciones de lienzo: Power Apps | Microsoft Docs

Iniciar sesión con una autenticación de certificado de cliente

Identificador de autenticación: CertOauth

Aplicable: Todas las regiones

Proporcionar credenciales de Id. de Entra de Microsoft mediante el certificado PFX y la contraseña

Se trata de una conexión que se puede compartir. Si la aplicación de energía se comparte con otro usuario, también se comparte la conexión. Para más información, consulte introducción a los conectores para aplicaciones de lienzo: Power Apps | Microsoft Docs

Inicio de sesión con una puerta de enlace de Windows

Identificador de autenticación: WindowsGateway

Aplicable: Todas las regiones

Usar una puerta de enlace de Windows local para conectarse a los recursos HTTP

Se trata de una conexión que se puede compartir. Si la aplicación de energía se comparte con otro usuario, también se comparte la conexión. Para más información, consulte introducción a los conectores para aplicaciones de lienzo: Power Apps | Microsoft Docs

Inicio de sesión con una puerta de enlace anonoymous

Identificador de autenticación: AnonymousGateway

Aplicable: Todas las regiones

Uso de una puerta de enlace anónima para conectarse a los recursos HTTP

Se trata de una conexión que se puede compartir. Si la aplicación de energía se comparte con otro usuario, también se comparte la conexión. Para más información, consulte introducción a los conectores para aplicaciones de lienzo: Power Apps | Microsoft Docs

Inicio de sesión con el identificador de Entra de Microsoft

Identificador de autenticación: EntraAuth

Aplicable: Todas las regiones

Inicio de sesión con credenciales de Id. de Entra de Microsoft

Se trata de una conexión que se puede compartir. Si la aplicación de energía se comparte con otro usuario, también se comparte la conexión. Para más información, consulte introducción a los conectores para aplicaciones de lienzo: Power Apps | Microsoft Docs

Valor predeterminado [EN DESUSO]

Aplicable: Todas las regiones

Esta opción solo es para conexiones anteriores sin un tipo de autenticación explícito y solo se proporciona para la compatibilidad con versiones anteriores.

Esta conexión no se puede compartir. Si la aplicación de energía se comparte con otro usuario, se pedirá a otro usuario que cree explícitamente una nueva conexión.

Limitaciones

Acciones

Invocación de una solicitud HTTP

Obtención de recursos web

Definiciones

binary