Ajouter l’authentification Microsoft Entra pour appeler des API personnalisées à partir d’Azure Logic Apps

Pour améliorer la sécurité des appels à vos API, vous pouvez configurer l’authentification Microsoft Entra via le portail Azure afin d’éviter de devoir mettre à jour votre code. Vous pouvez également exiger et appliquer une authentification par le biais du code de votre API.

Vous pouvez ajouter l’authentification comme suit :

• Aucune modification de code : protégez votre API avec Microsoft Entra ID par le biais du Portail Azure, ce qui vous évite de mettre à jour votre code ou de redéployer votre API.

  Remarque

  Par défaut, l’authentification Microsoft Entra que vous sélectionnez dans le portail Azure ne fournit pas une autorisation affinée. Par exemple, cette authentification verrouille votre API vis-à-vis d’un locataire spécifique et non d’un utilisateur ou d’une application spécifique.

• Mettez à jour le code de votre API : protégez votre API en appliquant l’authentification par certificat ou l’authentification Microsoft Entra par le biais du code.

Authentifier les appels à votre API sans modifier le code

Voici les étapes générales de cette méthode :

1. Créez deux identités d’application Microsoft Entra (inscription d’application) : une pour votre ressource d’application logique et une pour votre application web (ou application API).

2. Pour authentifier les appels à votre API, utilisez les informations d’identification (ID et clé secrète client) du principal de service associé à l’identité Microsoft Entra de votre application logique.

3. Incluez les ID d’application dans votre définition de workflow d’application logique.

Partie 1 : Créer une identité d’application Microsoft Entra pour votre application logique

Votre ressource d’application logique utilise cette identité d’application Microsoft Entra pour s’authentifier auprès de Microsoft Entra ID. Vous n’avez à configurer cette identité qu’une seule fois pour votre locataire. Par exemple, vous pouvez choisir d’utiliser la même identité pour toutes vos applications logiques, même si vous pouvez créer des identités uniques pour chaque application logique. Vous pouvez configurer ces identités dans le portail Azure ou à l’aide de PowerShell.

Partie 2 : Créer une identité d’application Microsoft Entra pour votre application web ou API

Si votre application web ou votre application API est déjà déployée, vous pouvez activer l’authentification et créer l’identité de l’application dans le Portail Azure. Sinon, vous pouvez activer l’authentification lorsque vous effectuez un déploiement avec un modèle Azure Resource Manager.

Créer l’identité d’application pour une application web déployée ou une application API dans le portail Azure

1. Dans le Portail Azure, recherchez puis sélectionnez votre application web ou votre application API.

2. Sous Paramètres, sélectionnez Authentification>Ajouter un fournisseur d’identité.

3. Une fois le volet Ajouter un fournisseur d’identité ouvert, sous l’onglet Informations de base, dans la liste des fournisseurs d’identité, sélectionnez Microsoft pour utiliser les identités Microsoft Entra, puis sélectionnez Ajouter.

4. À présent, créez une identité d’application pour votre application web ou votre application API comme suit :

   1. Pour Type d’inscription d’application, sélectionnez Créer une inscription d’application.

   2. Pour Nom, indiquez le nom de votre identité d’application.

   3. Pour Types de comptes pris en charge, sélectionnez les types de comptes appropriés pour votre scénario.

   4. Pour Restreindre l’accès, sélectionnez Exiger l’authentification.

   5. Pour Requêtes non authentifiées, sélectionnez l’option en fonction de votre scénario.

   6. Une fois que vous avez terminé, sélectionnez Ajouter.

   Dans la section Fournisseur d’identité, la nouvelle identité d’application pour votre application web ou application API s’affiche maintenant :

   

   Conseil

   Si l’application n’apparaît pas, dans la barre d’outils, sélectionnez Actualiser.

Vous devez à présent rechercher l’ID d’application (client) et l’ID de locataire pour l’identité d’application que vous venez de créer pour votre application web ou application API. Vous utiliserez ces ID dans la partie 3. Poursuivez cette procédure pour le portail Azure.

Rechercher l’ID client et l’ID de locataire de l’identité de l’application pour votre application web ou votre application API dans le Portail Azure

1. Dans le menu de votre application web, sous Gérer, sélectionnez Authentification.

2. Dans la section Fournisseur d’identité , recherchez votre identité d’application créée précédemment. Sélectionnez le nom de l’identité de l’application.

   

3. Dans la page Vue d’ensemble, recherchez les valeurs de l’ID d’application (client) et de l’ID d’annuaire (locataire). Copiez et enregistrez les valeurs pour les utiliser dans la Partie 3.

   

   Vous pouvez également utiliser le GUID de l’ID de locataire dans le modèle de déploiement de votre application web ou de votre application API si nécessaire. Ce GUID est celui de votre locataire spécifique (« ID de locataire ») et doit apparaître dans cette URL :https://sts.windows.net/<tenant-GUID>

Configurer l’authentification lorsque vous effectuez un déploiement avec un modèle Azure Resource Manager

Si vous utilisez un modèle Azure Resource Manager (ARM), vous devez toujours créer une identité d’application Microsoft Entra pour votre application web ou application API qui diffère de l’identité d’application pour votre application logique. Pour créer l’identité d’application, puis rechercher l’ID client et l’ID de locataire, suivez les étapes précédentes de la Partie 2 pour le portail Azure. Vous utiliserez l’ID client et l’ID de locataire dans le modèle de déploiement de votre application, de même que dans la Partie 3.

Une fois que vous disposez de l’ID client et de l’ID de locataire, incluez-les en tant que sous-ressource de votre application web ou de votre application API dans votre modèle de déploiement :

"resources": [
   {
      "apiVersion": "2015-08-01",
      "name": "web",
      "type": "config",
      "dependsOn": ["[concat('Microsoft.Web/sites/','parameters('webAppName'))]"],
      "properties": {
         "siteAuthEnabled": true,
         "siteAuthSettings": {
            "clientId": "<client-ID>",
            "issuer": "https://sts.windows.net/<tenant-ID>/"
         }
      }
   }
]

Pour déployer automatiquement une application web et une application logique vides avec l’authentification Microsoft Entra, consultez le modèle complet ou sélectionnez le bouton Déployer dans Azure suivant :

Troisième partie : Remplir la section Autorisation dans votre application logique

Cette section d’autorisation est déjà configurée dans le modèle précédent, mais si vous créez la définition de votre application logique directement, vous devez inclure la section d’autorisation complète.

1. Ouvrez la définition de votre application logique en mode Code.

2. Accédez à la définition d’action HTTP, recherchez la section Autorisation et incluez les propriétés suivantes :

{
   "tenant": "<tenant-ID>",
   "audience": "<client-ID-from-Part-2-web-app-or-API app>",
   "clientId": "<client-ID-from-Part-1-logic-app>",
   "secret": "<secret-from-Part-1-logic-app>",
   "type": "ActiveDirectoryOAuth"
}

Par exemple :

{
   "actions": {
      "HTTP": {
         "inputs": {
            "method": "POST",
            "uri": "https://your-api-azurewebsites.net/api/your-method",
            "authentication": {
               "tenant": "tenant-ID",
               "audience": "client-ID-from-azure-ad-app-for-web-app-or-api-app",
               "clientId": "client-ID-from-azure-ad-app-for-logic-app",
               "secret": "key-from-azure-ad-app-for-logic-app",
               "type": "ActiveDirectoryOAuth"
            }
         }
      }
   }
}

Sécuriser les appels à l’API avec le code

Authentification par certificat

Vous pouvez utiliser des certificats clients pour valider les demandes entrantes de votre workflow d’application logique parvenant à votre application web ou votre application API. Pour configurer votre code, apprenez comment configurer l’authentification mutuelle TLS.

Dans la section Autorisation, ajoutez les propriétés suivantes :

{
   "type": "ClientCertificate",
   "password": "<password>",
   "pfx": "<long-pfx-key>"
}

Authentification de base

Pour valider les demandes entrantes de votre application logique à l’attention de votre application web ou de votre application API, vous pouvez utiliser l’authentification de base, par exemple, un nom d’utilisateur et un mot de passe. Bien que l’authentification de base soit un modèle courant et que vous pouvez utiliser cette authentification dans n’importe quel langage utilisé pour générer votre application web ou votre application API, utilisez toujours le meilleur niveau d’authentification disponible ou pris en charge.

Dans la section Autorisation, ajoutez les propriétés suivantes :

{
   "type": "Basic",
   "username": "<username>",
   "password": "<password>"
}

Authentification Microsoft Entra par le biais du code

Par défaut, l’authentification Microsoft Entra que vous activez dans le portail Azure ne fournit pas une autorisation affinée. Par exemple, cette authentification verrouille votre API vis-à-vis d’un locataire spécifique et non d’un utilisateur ou d’une application spécifique.

Pour restreindre l’accès des API à votre application logique à l’aide du code, extrayez l’en-tête contenant le jeton JWT (JSON Web Token). Vérifiez l’identité de l’appelant et rejetez les demandes qui ne correspondent pas.

Étapes suivantes

• Déployer et appeler des API personnalisées à partir de workflows d’application logique