Uwierzytelnianie dostępu i połączeń z zasobami platformy Azure przy użyciu tożsamości zarządzanych w usłudze Azure Logic Apps

W przypadku przepływu pracy aplikacji logiki typu Consumption w poniższej tabeli wymieniono przykładowe connectory obsługujące uwierzytelnianie tożsamości zarządzanej:

W przypadku przepływu pracy aplikacji logicznej typu Standard, poniższa tabela zawiera przykładowe łączniki obsługujące uwierzytelnianie zarządzaną tożsamością.

W zasobie aplikacji logiki konsumpcji należy ręcznie włączyć tożsamość przypisaną przez system.

1. W witrynie Azure Portal otwórz zasób aplikacji logiki Zużycie.

2. W menu aplikacji logiki w obszarze Ustawienia wybierz pozycję Tożsamość.

3. Na stronie Tożsamość, w obszarze System przypisany, wybierz pozycję Włączony>i Zapisz. Gdy platforma Azure wyświetli monit o potwierdzenie, wybierz pozycję Tak.

   

   Uwaga

   Jeśli otrzymasz błąd, że możesz mieć tylko jedną tożsamość zarządzaną, oznacza to, że zasób aplikacji logiki jest już powiązany z przypisaną przez użytkownika tożsamością. Przed dodaniem tożsamości przypisanej przez system należy najpierw usunąć tożsamość przypisaną przez użytkownika z zasobu aplikacji logiki.

   Zasób aplikacji logiki może teraz używać tożsamości przypisanej przez system. Ta tożsamość jest zarejestrowana w identyfikatorze Entra firmy Microsoft i jest reprezentowana przez identyfikator obiektu.

   

   Własność	Wartość	Opis
   Identyfikator obiektu (głównego)	< identity-resource-ID>	Unikatowy identyfikator globalny (GUID), który reprezentuje tożsamość przydzieloną przez system dla aplikacji logicznej w dzierżawie Microsoft Entra.

4. Teraz wykonaj kroki, które zapewniają dostęp tożsamości przypisanej przez system do zasobu w dalszej części tego przewodnika.

W zasobie aplikacji logiki Standard tożsamość przypisana przez system jest automatycznie włączona. Jeśli musisz aktywować tożsamość, wykonaj następujące kroki:

1. W portalu Azure otwórz zasób standardowej aplikacji logiki.

2. W menu aplikacji logiki w obszarze Ustawienia wybierz pozycję Tożsamość.

3. Na stronie Tożsamość, w obszarze System przypisany, wybierz pozycję Włączony>i Zapisz. Gdy platforma Azure wyświetli monit o potwierdzenie, wybierz pozycję Tak.

   

   Zasób aplikacji logiki może teraz używać tożsamości przypisanej przez system, która jest zarejestrowana w identyfikatorze Microsoft Entra ID i jest reprezentowana przez identyfikator obiektu.

   

   Własność	Wartość	Opis
   Identyfikator obiektu (głównego)	< identity-resource-ID>	Unikatowy identyfikator globalny (GUID), który reprezentuje tożsamość przydzieloną przez system dla aplikacji logicznej w dzierżawie Microsoft Entra.

4. Teraz wykonaj kroki, które zapewniają tej tożsamości dostęp do zasobu w dalszej części tego przewodnika.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. W portalu Azure otwórz zasób aplikacji logiki Consumption.

2. W menu aplikacji logiki w obszarze Ustawienia wybierz pozycję Tożsamość.

3. Na stronie Tożsamość wybierz pozycję Przypisany użytkownik, a następnie wybierz pozycję Dodaj.

   

4. W okienku Dodawanie przypisanej przez użytkownika zarządzanej tożsamości wykonaj następujące kroki:

   1. Z listy Wybierz subskrypcję wybierz subskrypcję platformy Azure.

   2. Z listy zawierającej wszystkie zarządzane tożsamości w subskrypcji wybierz tożsamość przypisaną przez użytkownika, którą chcesz. Aby przefiltrować listę, w polu wyszukiwania Tożsamości zarządzanych przypisanych przez użytkownika wprowadź nazwę tożsamości lub grupy zasobów.

      

   3. Gdy wszystko będzie gotowe, wybierz pozycję Dodaj.

      Uwaga

      Jeśli wystąpi błąd, że możesz mieć tylko jedną tożsamość zarządzaną, aplikacja logiczna została już skojarzona z tożsamością przypisaną przez system. Przed dodaniem tożsamości przypisanej przez użytkownika należy najpierw wyłączyć tożsamość przypisaną przez system.

   Aplikacja logiki jest teraz skojarzona z tożsamością przypisaną przez użytkownika.

   

5. Teraz wykonaj kroki, które zapewniają dostęp tożsamości do zasobu w dalszej części tego przewodnika.

1. W portalu Azure otwórz zasób standardowej aplikacji logicznej.

2. W menu aplikacji logiki w obszarze Ustawienia wybierz pozycję Tożsamość.

3. Na stronie Tożsamość wybierz pozycję Przypisany użytkownik, a następnie wybierz pozycję Dodaj.

   

4. W okienku Dodawanie przypisanej przez użytkownika zarządzanej tożsamości wykonaj następujące kroki:

   1. Z listy Wybierz subskrypcję wybierz subskrypcję platformy Azure.

   2. Z listy ze wszystkimi tożsamościami zarządzanymi w ramach subskrypcji wybierz tożsamość przypisaną przez użytkownika, którą chcesz. Aby przefiltrować listę, w polu wyszukiwania Tożsamości zarządzanych przypisanych przez użytkownika wprowadź nazwę tożsamości lub grupy zasobów.

      

   3. Gdy wszystko będzie gotowe, wybierz pozycję Dodaj.

      Aplikacja logiki jest teraz skojarzona z tożsamością przypisaną przez użytkownika.

      

   4. Aby mieć wiele tożsamości przypisanych przez użytkownika, powtórz te same kroki, aby dodać te tożsamości.

5. Teraz wykonaj kroki, które zapewniają dostęp tożsamości do zasobu w dalszej części tego przewodnika.

W tym przykładzie przedstawiono definicję zasobu aplikacji logicznej typu Consumption oraz definicję przepływu pracy dla żądania HTTP PUT z nieparametryzowanym obiektem tożsamości. Odpowiedź na żądanie PUT i kolejna operacja GET obejmuje również ten obiekt tożsamości :

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Jeśli szablon zawiera również definicję zasobu tożsamości zarządzanej, możesz sparametryzować obiekt tożsamości . W poniższym przykładzie pokazano, jak obiekt userAssignedIdentities odwołuje się do zmiennej userAssignedIdentityName zdefiniowanej w sekcji zmiennych szablonu. Ta zmienna odwołuje się do identyfikatora zasobu przypisanego przez użytkownika dla jego tożsamości.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Zasób standardowej aplikacji logiki może włączać tożsamość przypisaną przez system i zdefiniować wiele tożsamości przypisanych przez użytkownika. Definicja zasobu standardowej aplikacji logiki jest oparta na definicji zasobu aplikacji funkcji usługi Azure Functions.

W tym przykładzie przedstawiono standardowy zasób aplikacji logiki i definicję przepływu pracy, która zawiera nieparametryzowany obiekt tożsamości :

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Jeśli szablon zawiera również definicję zasobu tożsamości zarządzanej, możesz sparametryzować obiekt tożsamości . W poniższym przykładzie pokazano, jak obiekt userAssignedIdentities odwołuje się do zmiennej userAssignedIdentityName zdefiniowanej w sekcji zmiennych szablonu. Ta zmienna odwołuje się do identyfikatora zasobu przypisanego przez użytkownika dla jego tożsamości.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Gdy szablon tworzy zasób aplikacji logiki, obiekt tożsamości zawiera następujące właściwości:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

Wartość właściwości principalId jest unikatowym identyfikatorem tożsamości używanej do administrowania firmą Microsoft Entra. Wartość właściwości clientId jest unikatowym identyfikatorem nowej tożsamości aplikacji logiki używanej do określania tożsamości, która ma być używana podczas wywołań środowiska uruchomieniowego. Aby uzyskać więcej informacji na temat szablonów usługi Azure Resource Manager i tożsamości zarządzanych dla usługi Azure Functions, zobacz następującą dokumentację:

• Szablon usługi ARM — Azure Functions

• Dodaj tożsamość przypisana przez użytkownika przy użyciu szablonu ARM dla usługi Azure Functions.

1. W witrynie Azure Portal otwórz zasób aplikacji logiki Zużycie.

2. Jeśli jeszcze tego nie zrobiłeś, dodaj wyzwalacz lub akcję, która obsługuje zarządzane tożsamości.

   Uwaga

   Nie wszystkie operacje łącznika obsługują dodawanie typu uwierzytelniania. Aby uzyskać więcej informacji, zobacz Typy uwierzytelniania dla wyzwalaczy i akcji obsługujących uwierzytelnianie.

3. W dodanym wyzwalaczu lub akcji wykonaj następujące kroki:

   • Wbudowane działania łącznika obsługujące uwierzytelnianie tożsamości zarządzanej

     Te kroki są kontynuowane, używając akcji HTTP jako przykładu.

     1. Z listy Parametry zaawansowane dodaj właściwość Uwierzytelnianie, jeśli właściwość nie jest jeszcze dostępna.

        

        Teraz zarówno właściwość Authentication , jak i lista Typ uwierzytelniania są wyświetlane w akcji.

        

     2. Z listy Typ uwierzytelniania wybierz pozycję Zarządzana tożsamość.

        

        Sekcja Uwierzytelnianie zawiera teraz następujące opcje:

        • Lista Tożsamości Zarządzanych, z której można wybrać określoną tożsamość zarządzaną

        • Właściwość Odbiorcy jest wyświetlana na określonych wyzwalaczach i akcjach, aby można było ustawić identyfikator zasobu dla zasobu docelowego lub usługi platformy Azure. W przeciwnym razie właściwość Audience domyślnie używa identyfikatora zasobu , który jest identyfikatorem zasobu dla Azure Resource Manager.

     3. Z listy tożsamości zarządzanej wybierz tożsamość, której chcesz użyć, na przykład:

        

        Uwaga

        Wybrana opcja domyślna to tożsamość zarządzana przypisana przez system, nawet jeśli nie masz włączonej żadnej tożsamości zarządzanej.

        Aby pomyślnie użyć tożsamości zarządzanej, musisz najpierw włączyć tę tożsamość w aplikacji Logic Apps. W aplikacji logiki Zużycie można mieć tożsamość zarządzaną przypisaną przez system lub tożsamość przypisaną przez użytkownika, ale nie obie.

     Aby uzyskać więcej informacji, zobacz Przykład: Uwierzytelnianie wbudowanego wyzwalacza lub akcji przy użyciu tożsamości zarządzanej.

   • Operacje zarządzanych łączników obsługujące uwierzytelnianie przy użyciu tożsamości zarządzanej

     1. W okienku Tworzenie połączenia, z listy Uwierzytelnianie, wybierz Tożsamość zarządzana, na przykład:

        

     2. W następnym okienku w polu Nazwa połączenia podaj nazwę do użycia dla połączenia.

     3. Dla typu uwierzytelniania wybierz jedną z następujących opcji na podstawie łącznika zarządzanego:

        • Jednouwierzytelnianie: te łączniki obsługują tylko jeden typ uwierzytelniania, który jest tożsamością zarządzaną w tym przypadku.

          1. Z listy Tożsamość zarządzana wybierz obecnie włączoną tożsamość zarządzaną.

          2. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

        • Uwierzytelnianie wieloskładnikowe: te łączniki obsługują wiele typów uwierzytelniania, ale można wybrać i użyć tylko jednego typu jednocześnie.

          Te kroki są kontynuowane przy użyciu akcji usługi Azure Blob Storage jako przykładu.

          1. Z listy Typ uwierzytelniania wybierz opcję Zarządzana tożsamość Logic Apps.

             

          2. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

        Aby uzyskać więcej informacji, zobacz Przykład: Uwierzytelnianie wyzwalacza lub akcji zarządzanego łącznika za pomocą tożsamości zarządzanej.

1. W portalu Azure otwórz zasób standardowej aplikacji logiki.

2. Jeśli jeszcze tego nie zrobiłeś, dodaj wyzwalacz lub akcję, która obsługuje zarządzane tożsamości.

   Uwaga

   Nie wszystkie wyzwalacze i akcje obsługują dodawanie typu uwierzytelniania. Aby uzyskać więcej informacji, zobacz Typy uwierzytelniania dla wyzwalaczy i akcji obsługujących uwierzytelnianie.

3. W dodanym wyzwalaczu lub akcji wykonaj następujące kroki:

   • Operacje wbudowane, które obsługują uwierzytelnianie przy użyciu tożsamości zarządzanej

     Te kroki są kontynuowane, używając akcji HTTP jako przykładu.

     1. Z listy Parametry zaawansowane dodaj właściwość Uwierzytelnianie, jeśli właściwość nie jest jeszcze dostępna.

        

        Teraz zarówno właściwość Authentication , jak i lista Typ uwierzytelniania są wyświetlane w akcji.

        

     2. Z listy Typ uwierzytelniania wybierz pozycję Zarządzana tożsamość.

        

        Sekcja Uwierzytelnianie zawiera teraz następujące opcje:

        • Lista Tożsamości Zarządzanych, z której można wybrać określoną tożsamość zarządzaną

        • Właściwość Odbiorcy jest wyświetlana na określonych wyzwalaczach i akcjach, aby można było ustawić identyfikator zasobu dla zasobu docelowego lub usługi platformy Azure. W przeciwnym razie właściwość Audience domyślnie używa identyfikatora zasobu , który jest identyfikatorem zasobu dla Azure Resource Manager.

        

     3. Z listy tożsamości zarządzanej wybierz tożsamość, której chcesz użyć, na przykład:

        

        Uwaga

        Wybrana opcja domyślna to tożsamość zarządzana przypisana przez system, nawet jeśli nie masz włączonej żadnej tożsamości zarządzanej.

        Aby pomyślnie użyć tożsamości zarządzanej, musisz najpierw włączyć tę tożsamość w aplikacji Logic Apps. W standardowej aplikacji logiki można zdefiniować i włączyć zarówno tożsamość zarządzaną przypisaną przez system, jak i przypisaną przez użytkownika. Jednak aplikacja logiki powinna używać tylko jednej tożsamości zarządzanej jednocześnie.

        Na przykład przepływ pracy, który uzyskuje dostęp do różnych elementów komunikacyjnych usługi Azure Service Bus, powinien używać tylko jednej tożsamości zarządzanej. Zobacz Nawiązywanie połączenia z usługą Azure Service Bus z przepływów pracy.

     Aby uzyskać więcej informacji, zobacz Przykład: Uwierzytelnianie wbudowanego wyzwalacza lub akcji przy użyciu tożsamości zarządzanej.

   • Operacje zarządzanych łączników obsługujące uwierzytelnianie przy użyciu tożsamości zarządzanej

     1. W okienku Tworzenie połączenia, z listy Uwierzytelnianie, wybierz Tożsamość zarządzana, na przykład:

        

     2. W następnym okienku w polu Nazwa połączenia podaj nazwę do użycia dla połączenia.

     3. Dla typu uwierzytelniania wybierz jedną z następujących opcji na podstawie łącznika zarządzanego:

        • Jednouwierzytelnianie: te łączniki obsługują tylko jeden typ uwierzytelniania, który jest tożsamością zarządzaną w tym przypadku.

          1. Z listy Tożsamość zarządzana wybierz obecnie włączoną tożsamość zarządzaną.

          2. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

        • Uwierzytelnianie wieloskładnikowe: te łączniki obsługują wiele typów uwierzytelniania, ale można wybrać i użyć tylko jednego typu jednocześnie.

          Te kroki są kontynuowane przy użyciu akcji usługi Azure Blob Storage jako przykładu.

          1. Z listy Typ uwierzytelniania wybierz opcję Zarządzana tożsamość Logic Apps.

             

          2. Z listy Tożsamość zarządzana wybierz tożsamość, której chcesz użyć.

             

          3. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

        Aby uzyskać więcej informacji, zobacz Przykład: Uwierzytelnianie wyzwalacza lub akcji zarządzanego łącznika za pomocą tożsamości zarządzanej.

1. W projektancie przepływu pracy dodaj dowolny wyzwalacz, a następnie dodaj akcję HTTP .

   W następującym przykładzie pokazano przykład działania HTTP ze wszystkimi wcześniej opisanymi wartościami właściwości do użycia w operacji tworzenia migawki obiektu blob.

   

2. W akcji HTTP dodaj właściwość Authentication. Z listy Parametry zaawansowane wybierz pozycję Uwierzytelnianie.

   

   Sekcja Uwierzytelnianie jest teraz wyświetlana w akcji HTTP .

   Uwaga

   Nie wszystkie wyzwalacze i akcje obsługują dodawanie typu uwierzytelniania. Aby uzyskać więcej informacji, zobacz Typy uwierzytelniania dla wyzwalaczy i akcji obsługujących uwierzytelnianie.

3. Z listy Typ uwierzytelniania wybierz pozycję Zarządzana tożsamość.

   

4. Z listy Tożsamości Zarządzanej wybierz odpowiednią opcję na podstawie danego scenariusza.

   • Jeśli skonfigurujesz tożsamość przypisaną przez system, wybierz pozycję Tożsamość zarządzana przypisana przez system.

     

   • Jeśli skonfigurujesz tożsamość przypisaną przez użytkownika, wybierz tę tożsamość.

     

   W tym przykładzie kontynuowana jest tożsamość zarządzana przypisana przez system.

5. W niektórych wyzwalaczach i akcjach zostanie wyświetlona właściwość Odbiorcy, aby można było ustawić identyfikator zasobu dla docelowego zasobu lub usługi platformy Azure.

   Na przykład aby uwierzytelnić dostęp do zasobu usługi Key Vault w globalnej chmurze platformy Azure, należy ustawić właściwość Audience na dokładnie następujący identyfikator zasobu: https://vault.azure.net

   Jeśli nie ustawisz właściwości Audience, domyślnie właściwość Audience używa https://management.azure.com/ identyfikatora zasobu, który jest identyfikatorem zasobu dla Azure Resource Manager.

   Ważne

   Upewnij się, że identyfikator zasobu docelowego dokładnie odpowiada wartości oczekiwanej przez identyfikator Entra firmy Microsoft. W przeciwnym razie może wystąpić błąd 400 Bad Request lub błąd 401 Unauthorized. Jeśli więc identyfikator zasobu zawiera jakiekolwiek ukośniki końcowe, pamiętaj, aby je uwzględnić. W przeciwnym razie nie uwzględnij ich.

   Na przykład identyfikator zasobu dla wszystkich kont usługi Azure Blob Storage wymaga końcowego ukośnika. Jednak identyfikator zasobu dla określonego konta magazynowego nie wymaga końcowego ukośnika. Sprawdź identyfikatory zasobów dla usług platformy Azure, które obsługują identyfikator Entra firmy Microsoft.

   W tym przykładzie właściwość Audience jest ustawiana na wartość https://storage.azure.com/, tak aby tokeny dostępu używane do uwierzytelniania były prawidłowe dla wszystkich kont magazynu. Można jednak również określić adres URL usługi głównej, https://<your-storage-account>.blob.core.windows.net dla określonego konta magazynowego.

   

   Aby uzyskać więcej informacji na temat autoryzowania dostępu za pomocą identyfikatora Entra firmy Microsoft dla usługi Azure Storage, zobacz następującą dokumentację:

   • Autoryzowanie dostępu do obiektów blob i kolejek platformy Azure przy użyciu identyfikatora Entra firmy Microsoft

   • Autoryzowanie dostępu do usługi Azure Storage przy użyciu protokołu OAuth

6. Kontynuuj tworzenie przepływu pracy w żądany sposób.

1. W projektancie przepływu pracy dodaj dowolny wyzwalacz, a następnie dodaj akcję HTTP .

   W następującym przykładzie pokazano przykład działania HTTP ze wszystkimi wcześniej opisanymi wartościami właściwości do użycia w operacji tworzenia migawki obiektu blob.

   

2. W akcji HTTP dodaj właściwość Authentication. Z listy Parametry zaawansowane wybierz pozycję Uwierzytelnianie.

   

   Sekcja Uwierzytelnianie jest teraz wyświetlana w akcji HTTP .

   Uwaga

   Nie wszystkie wyzwalacze i akcje obsługują dodawanie typu uwierzytelniania. Aby uzyskać więcej informacji, zobacz Typy uwierzytelniania dla wyzwalaczy i akcji obsługujących uwierzytelnianie.

3. Z listy Typ uwierzytelniania wybierz Tożsamość zarządzana.

   

4. Z listy Tożsamości Zarządzanej wybierz odpowiednią opcję na podstawie danego scenariusza.

   • Jeśli skonfigurujesz tożsamość przypisaną przez system, wybierz pozycję Tożsamość zarządzana przypisana przez system.

     

   • Jeśli skonfigurujesz tożsamość przypisaną przez użytkownika, wybierz tę tożsamość.

     

   W tym przykładzie kontynuowana jest tożsamość zarządzana przypisana przez system.

5. W niektórych wyzwalaczach i akcjach zostanie wyświetlona właściwość Odbiorcy, aby można było ustawić identyfikator zasobu dla docelowego zasobu lub usługi platformy Azure.

   Na przykład aby uwierzytelnić dostęp do zasobu usługi Key Vault w globalnej chmurze platformy Azure, należy ustawić właściwość Audience na dokładnie następujący identyfikator zasobu: https://vault.azure.net

   Jeśli nie ustawisz właściwości Audience, domyślnie właściwość Audience używa https://management.azure.com/ identyfikatora zasobu, który jest identyfikatorem zasobu dla Azure Resource Manager.

   Ważne

   Upewnij się, że identyfikator zasobu docelowego dokładnie odpowiada wartości oczekiwanej przez identyfikator Entra firmy Microsoft. W przeciwnym razie może wystąpić błąd 400 Bad Request lub błąd 401 Unauthorized. Jeśli więc identyfikator zasobu zawiera jakiekolwiek ukośniki końcowe, pamiętaj, aby je uwzględnić. W przeciwnym razie nie uwzględnij ich.

   Na przykład identyfikator zasobu dla wszystkich kont usługi Azure Blob Storage wymaga końcowego ukośnika. Jednak identyfikator zasobu dla określonego konta magazynowego nie wymaga końcowego ukośnika. Sprawdź identyfikatory zasobów dla usług platformy Azure, które obsługują identyfikator Entra firmy Microsoft.

   W tym przykładzie właściwość Audience jest ustawiana na wartość https://storage.azure.com/, tak aby tokeny dostępu używane do uwierzytelniania były prawidłowe dla wszystkich kont magazynu. Można jednak również określić adres URL usługi głównej, https://<your-storage-account>.blob.core.windows.net dla określonego konta magazynowego.

   

   Aby uzyskać więcej informacji na temat autoryzowania dostępu za pomocą identyfikatora Entra firmy Microsoft dla usługi Azure Storage, zobacz następującą dokumentację:

   • Autoryzowanie dostępu do obiektów blob i kolejek platformy Azure przy użyciu identyfikatora Entra firmy Microsoft

   • Autoryzowanie dostępu do usługi Azure Storage przy użyciu protokołu OAuth

6. Kontynuuj tworzenie przepływu pracy w żądany sposób.

1. W projektancie przepływu pracy dodaj akcję usługi Azure Resource Manager o nazwie Odczyt zasobu.

2. W okienku Tworzenie połączenia z listy Uwierzytelnianie wybierz pozycję Tożsamość zarządzana, a następnie wybierz pozycję Zaloguj.

   Uwaga

   W innych łącznikach lista Typ uwierzytelniania wyświetla zamiast tego tożsamość zarządzaną usługi Logic Apps, więc wybierz tę opcję.

   

3. Podaj nazwę połączenia i wybierz tożsamość zarządzaną, której chcesz użyć.

   Jeśli włączono tożsamość przypisaną przez system, lista Tożsamości zarządzanej automatycznie wybiera tożsamość zarządzaną przypisaną przez system. Jeśli zamiast tego włączono tożsamość przypisaną przez użytkownika, lista automatycznie wybiera tożsamość przypisaną przez użytkownika.

   W tym przykładzie zarządzana tożsamość przypisana przez system jest jedynym dostępnym wyborem.

   

   Uwaga

   Jeśli tożsamość zarządzana nie jest włączona podczas próby utworzenia lub zmiany połączenia albo jeśli tożsamość zarządzana została usunięta, gdy połączenie z włączoną tożsamością zarządzaną nadal istnieje, zostanie wyświetlony błąd informujący, że musisz włączyć tożsamość i udzielić dostępu do zasobu docelowego.

4. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

5. Po pomyślnym utworzeniu połączenia projektant może pobrać dowolne wartości dynamiczne, zawartość lub schemat przy użyciu uwierzytelniania tożsamości zarządzanej.

6. Kontynuuj tworzenie przepływu pracy w żądany sposób.

1. W projektancie przepływu pracy dodaj akcję usługi Azure Resource Manager o nazwie Odczyt zasobu.

2. W okienku Tworzenie połączenia z listy Uwierzytelnianie wybierz pozycję Tożsamość zarządzana, a następnie wybierz pozycję Zaloguj.

   Uwaga

   W innych łącznikach lista Typ uwierzytelniania wyświetla zamiast tego tożsamość zarządzaną usługi Logic Apps, więc wybierz tę opcję.

   

3. Podaj nazwę połączenia i wybierz tożsamość zarządzaną, której chcesz użyć.

   Domyślnie zasoby standardowej aplikacji logiki mają włączoną tożsamość przypisaną przez system. Zatem lista Tożsamość zarządzaną automatycznie wybiera tożsamość zarządzaną przypisaną przez system. Jeśli włączyłeś także co najmniej jedną tożsamość przypisaną przez użytkownika, lista tożsamości zarządzanych zawiera wszystkie aktualnie włączone tożsamości zarządzane, na przykład:

   

   Uwaga

   Jeśli tożsamość zarządzana nie jest włączona podczas próby utworzenia lub zmiany połączenia albo jeśli tożsamość zarządzana została usunięta, gdy połączenie z włączoną tożsamością zarządzaną nadal istnieje, zostanie wyświetlony błąd informujący, że musisz włączyć tożsamość i udzielić dostępu do zasobu docelowego.

4. Gdy wszystko będzie gotowe, wybierz pozycję Utwórz nowy.

5. Po pomyślnym utworzeniu połączenia projektant może pobrać dowolne wartości dynamiczne, zawartość lub schemat przy użyciu uwierzytelniania tożsamości zarządzanej.

6. Kontynuuj tworzenie przepływu pracy w żądany sposób.

W zasobie aplikacji logiki typu Consumption konfiguracja połączenia jest zapisywana w obiekcie definicji zasobu parameters, który zawiera obiekt $connections z wskaźnikami do identyfikatora zasobu połączenia oraz do identyfikatora zasobu zarządzanej tożsamości, gdy włączona jest tożsamość przypisana przez użytkownika.

W tym przykładzie pokazano konfigurację parameters obiektu, gdy aplikacja logiki włącza tożsamość przypisaną przez system:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

W tym przykładzie pokazano konfigurację parameters obiektu, gdy aplikacja logiki włącza tożsamość zarządzaną przypisaną przez użytkownika:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

W zasobie logiki aplikacji w warstwie Standard konfiguracja połączenia jest zapisywana w pliku logiki aplikacji lub projektu connections.json, który zawiera obiekt managedApiConnections, zawierający informacje o konfiguracji połączenia dla każdego łącznika zarządzanego używanego w przepływie pracy. Te informacje dotyczące połączenia zawierają odnośniki do identyfikatora zasobu połączenia wraz z właściwościami tożsamości zarządzanej, tak jak identyfikator zasobu, gdy jest włączona tożsamość przypisana przez użytkownika.

W tym przykładzie pokazano konfigurację managedApiConnections obiektu, gdy aplikacja logiki włącza tożsamość przypisaną przez system:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

W tym przykładzie pokazano konfigurację managedApiConnections obiektu, gdy aplikacja logiki włącza tożsamość przypisaną przez użytkownika:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Poniższe przykłady dotyczą zasobów aplikacji logiki Consumption i pokazują, jak podstawowa definicja zasobu łącznika różni się między łącznikiem pojedynczego uwierzytelniania a łącznikiem z wieloma możliwościami uwierzytelniania.

Jednouwierzytelnianie

W tym przykładzie przedstawiono podstawową definicję zasobu połączenia dla akcji łącznika, która obsługuje tylko jeden typ uwierzytelniania i używa tożsamości zarządzanej w przepływie pracy aplikacji logicznej w planie Consumption, w którym definicja zawiera następujące atrybuty:

• Właściwość kind jest ustawiona na V1 dla aplikacji logiki typu Zużycie.

• Właściwość parameterValueType ma ustawioną wartość Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Uwierzytelnianie wielokrotne

W tym przykładzie przedstawiono podstawową definicję zasobu połączenia dla akcji łącznika, która obsługuje wiele typów uwierzytelniania i używa tożsamości zarządzanej w przepływie pracy aplikacji logiki Zużycie, gdzie definicja zawiera następujące atrybuty:

• Właściwość kind jest ustawiona na V1 dla aplikacji logiki typu Zużycie.

• Obiekt parameterValueSet zawiera właściwość name, która jest ustawiona do managedIdentityAuth, oraz właściwość values, która jest ustawiona do pustego obiektu.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Poniższe przykłady dotyczą zasobów standardowych aplikacji logicznych i pokazują, jak podstawowa definicja zasobu łącznika różni się między łącznikiem pojedynczego uwierzytelniania a łącznikiem wielokrotnego uwierzytelniania.

Jednouwierzytelnianie

W tym przykładzie przedstawiono podstawową definicję zasobu połączenia dla akcji łącznika, która obsługuje tylko jeden typ uwierzytelniania i używa tożsamości zarządzanej w przepływie pracy standardowej aplikacji logiki, gdzie definicja zawiera następujące atrybuty:

• Właściwość kind jest ustawiona na V2 dla standardowej aplikacji logiki.

• Właściwość parameterValueType ma ustawioną wartość Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Uwierzytelnianie wielokrotne

W tym przykładzie przedstawiono podstawową definicję zasobu połączenia dla akcji łącznika, która obsługuje wiele typów uwierzytelniania i używa tożsamości zarządzanej w przepływie pracy aplikacji logiki w warstwie Standardowa, gdzie definicja zawiera następujące atrybuty:

• Właściwość kind jest ustawiona na V2 dla standardowej aplikacji logiki.

• Obiekt parameterValueSet zawiera właściwość name, która jest ustawiona do managedIdentityAuth, oraz właściwość values, która jest ustawiona do pustego obiektu.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

W kolejnej definicji zasobu Microsoft.Web/connections upewnij się, że dodano zasady dostępu określające definicję zasobu dla każdego połączenia interfejsu API i podaj następujące informacje:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Aby uzyskać więcej informacji, zobacz Microsoft.Web/connections/accesspolicies (szablon usługi ARM).