Проверка подлинности доступа и подключений к ресурсам Azure с помощью управляемых удостоверений в Azure Logic Apps

Для рабочего процесса приложения логики потребления в следующей таблице перечислены примеры соединителей, поддерживающих проверку подлинности управляемого удостоверения:

Для рабочего процесса приложения логики уровня "Стандартный" в следующей таблице перечислены примеры соединителей, поддерживающих проверку подлинности управляемого удостоверения:

В ресурсе приложения логики потребления необходимо вручную включить удостоверение, назначаемое системой.

1. На портале Azure откройте ресурс приложения логики потребления.

2. В меню приложения логики в разделе "Параметры" выберите "Удостоверение".

3. На странице "Удостоверение" в разделе "Назначенная системой" выберите "Сохранить".> Когда Azure запрашивает подтверждение, нажмите кнопку "Да".

   

   Note

   Если возникает ошибка, которая может иметь только одно управляемое удостоверение, ресурс приложения логики уже связан с удостоверением, назначаемым пользователем. Прежде чем добавить назначаемое системой удостоверение, необходимо сначала удалить назначаемое пользователем удостоверение из ресурса приложения логики.

   Ресурс приложения логики теперь может использовать удостоверение, назначаемое системой. Это удостоверение зарегистрировано в идентификаторе Microsoft Entra и представлено идентификатором объекта.

   

   Property	Value	Description
   Идентификатор объекта (субъект)	< identity-resource-ID>	Глобальный уникальный идентификатор (GUID), представляющий удостоверение, назначаемое системой для приложения логики в клиенте Microsoft Entra.

4. Теперь выполните действия, которые предоставляют системным удостоверениям доступ к ресурсу далее в этом руководстве.

В ресурсе приложения логики уровня "Стандартный" удостоверение, назначаемое системой, автоматически включается. Если необходимо включить удостоверение, выполните следующие действия.

1. На портале Azure откройте свой ресурс приложения логики категории "Стандартный".

2. В меню приложения логики в разделе "Параметры" выберите "Удостоверение".

3. На странице "Удостоверение" в разделе "Назначенная системой" выберите "Сохранить".> Когда Azure запрашивает подтверждение, нажмите кнопку "Да".

   

   Ресурс приложения логики теперь может использовать назначаемое системой удостоверение, которое зарегистрировано в идентификаторе Microsoft Entra и представлено идентификатором объекта.

   

   Property	Value	Description
   Идентификатор объекта (субъект)	< identity-resource-ID>	Глобальный уникальный идентификатор (GUID), представляющий удостоверение, назначаемое системой для приложения логики в клиенте Microsoft Entra.

4. Теперь выполните действия, которые предоставляют этому удостоверению доступ к ресурсу далее в этом руководстве.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. На портале Azure откройте ресурс приложения логики потребления.

2. В меню приложения логики в разделе "Параметры" выберите "Удостоверение".

3. На странице "Удостоверение" выберите "Пользователь", а затем нажмите кнопку "Добавить".

   

4. В области добавления назначенных пользователем управляемых удостоверений выполните следующие действия.

   1. В списке "Выбор подписки" выберите подписку Azure.

   2. В списке со всеми управляемыми удостоверениями в подписке выберите нужное удостоверение, назначаемое пользователем. Чтобы отфильтровать список, в поле поиска управляемых удостоверений, назначаемых пользователем , введите имя удостоверения или группы ресурсов.

      

   3. По завершении нажмите кнопку "Добавить".

      Note

      Если вы получите сообщение об ошибке, которое может иметь только одно управляемое удостоверение, приложение логики уже связано с удостоверением, назначаемое системой. Прежде чем добавить удостоверение, назначаемое пользователем, необходимо сначала отключить назначаемое системой удостоверение.

   Теперь приложение логики связано с удостоверением, назначенным пользователем.

   

5. Теперь выполните действия, которые предоставляют удостоверению доступ к ресурсу далее в этом руководстве.

1. На портале Azure откройте ресурс приложения логики "Стандартный".

2. В меню приложения логики в разделе "Параметры" выберите "Удостоверение".

3. На странице "Удостоверение" выберите "Пользователь", а затем нажмите кнопку "Добавить".

   

4. В области добавления назначенных пользователем управляемых удостоверений выполните следующие действия.

   1. В списке "Выбор подписки" выберите подписку Azure.

   2. В списке со всеми управляемыми удостоверениями в подписке выберите нужное удостоверение, назначаемое пользователем. Чтобы отфильтровать список, в поле поиска управляемых удостоверений, назначаемых пользователем , введите имя удостоверения или группы ресурсов.

      

   3. По завершении нажмите кнопку "Добавить".

      Теперь приложение логики связано с удостоверением, назначенным пользователем.

      

   4. Чтобы иметь несколько назначаемых пользователем удостоверений, повторите те же действия, чтобы добавить эти удостоверения.

5. Теперь выполните действия, которые предоставляют удостоверению доступ к ресурсу далее в этом руководстве.

В этом примере показан ресурс приложения логики потребления и определение рабочего процесса для HTTP-запроса PUT с непараметризованным объектом удостоверения . Ответ на запрос PUT и последующую операцию GET также включает этот объект удостоверения :

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Если шаблон также включает определение ресурса управляемого удостоверения, можно параметризовать объект удостоверения . В следующем примере показано, как дочерний объект userAssignedIdentities ссылается на переменную userAssignedIdentityName, определяемую в разделе переменных шаблона. Эта переменная ссылается на идентификатор ресурса для удостоверения, назначаемого пользователем.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Ресурс приложения логики "Стандартный" может включать и иметь как назначаемое системой удостоверение, так и несколько удостоверений, назначенных пользователем. Определение ресурса приложения логики уровня "Стандартный" основано на определении ресурсов приложения-функции Функций Azure.

В этом примере показано определение ресурса приложения логики "Стандартный" и определения рабочего процесса, включающее непараметризованный объект удостоверения :

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Если шаблон также включает определение ресурса управляемого удостоверения, можно параметризовать объект удостоверения . В следующем примере показано, как дочерний объект userAssignedIdentities ссылается на переменную userAssignedIdentityName, определяемую в разделе переменных шаблона. Эта переменная ссылается на идентификатор ресурса для удостоверения, назначаемого пользователем.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Когда шаблон создает ресурс приложения логики, объект удостоверений содержит следующие свойства:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

Значение свойства principalId — это уникальный идентификатор удостоверения, используемого для администрирования Microsoft Entra. Значение свойства clientId — это уникальный идентификатор нового удостоверения приложения логики, который используется для указания удостоверения, используемого во время вызовов среды выполнения. Дополнительные сведения о шаблонах Azure Resource Manager и управляемых удостоверениях для Функций Azure см. в следующей документации:

• Шаблон ARM — Функции Azure

• Добавьте назначаемое пользователем удостоверение с помощью шаблона ARM для функций Azure.

1. На портале Azure откройте ресурс приложения логики потребления.

2. Если это еще не сделано, добавьте триггер или действие, которое поддерживает управляемые удостоверения.

   Note

   Не все операции соединителя поддерживают добавление типа проверки подлинности. Дополнительные сведения см. в разделе "Типы проверки подлинности" для триггеров и действий, поддерживающих проверку подлинности.

3. В добавленном триггере или действии выполните следующие действия.

   • Встроенные операции соединителя, поддерживающие проверку подлинности управляемого удостоверения

     Эти действия продолжаются с помощью действия HTTP в качестве примера.

     1. В списке расширенных параметров добавьте свойство Authentication , если свойство еще не отображается.

        

        Теперь в действии отображаются как свойство проверки подлинности , так и список типов проверки подлинности .

        

     2. В списке типов проверки подлинности выберите управляемое удостоверение.

        

        Теперь в разделе проверки подлинности показаны следующие параметры:

        • Список управляемых удостоверений , из которого можно выбрать определенное управляемое удостоверение.

        • Свойство Аудитории отображается на определенных триггерах и действиях, чтобы задать идентификатор ресурса для целевого ресурса или службы Azure. В противном случае свойство Аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

     3. В списке управляемых удостоверений выберите удостоверение, которое вы хотите использовать, например:

        

        Note

        Выбранный по умолчанию параметр — управляемое удостоверение, назначаемое системой, даже если у вас нет управляемых удостоверений.

        Чтобы успешно использовать управляемое удостоверение, необходимо сначала включить это удостоверение в приложении логики. В приложении логики потребления можно иметь управляемое удостоверение, назначаемое системой или назначаемое пользователем, но не оба.

     Дополнительные сведения см. в примере: проверка подлинности встроенного триггера или действия с помощью управляемого удостоверения.

   • Операции управляемого соединителя, поддерживающие проверку подлинности управляемых удостоверений

     1. В области "Создание подключения " в списке проверки подлинности выберите управляемое удостоверение, например:

        

     2. На следующей панели в поле "Имя подключения" укажите имя, используемое для подключения.

     3. Для типа проверки подлинности выберите один из следующих вариантов на основе управляемого соединителя:

        • Одиночная проверка подлинности: эти соединители поддерживают только один тип проверки подлинности, который является управляемым удостоверением в данном случае.

          1. В списке управляемых удостоверений выберите текущее управляемое удостоверение с поддержкой.

          2. Когда вы будете готовы, нажмите кнопку "Создать".

        • Многофакторная проверка подлинности: эти соединители поддерживают несколько типов проверки подлинности, но вы можете выбрать и использовать только один тип одновременно.

          Эти действия продолжаются с помощью действия хранилища BLOB-объектов Azure в качестве примера.

          1. В списке типов проверки подлинности выберите "Управляемое удостоверение Logic Apps".

             

          2. Когда вы будете готовы, нажмите кнопку "Создать".

        Дополнительные сведения см. в разделе "Пример: проверка подлинности триггера или действия управляемого соединителя с помощью управляемого удостоверения".

1. На портале Azure откройте свой ресурс приложения логики категории "Стандартный".

2. Если это еще не сделано, добавьте триггер или действие, которое поддерживает управляемые удостоверения.

   Note

   Не все триггеры и действия поддерживают добавление типа проверки подлинности. Дополнительные сведения см. в разделе "Типы проверки подлинности" для триггеров и действий, поддерживающих проверку подлинности.

3. В добавленном триггере или действии выполните следующие действия.

   • Встроенные операции, поддерживающие проверку подлинности управляемых удостоверений

     Эти действия продолжаются с помощью действия HTTP в качестве примера.

     1. В списке расширенных параметров добавьте свойство Authentication , если свойство еще не отображается.

        

        Теперь в действии отображаются как свойство проверки подлинности , так и список типов проверки подлинности .

        

     2. В списке типов проверки подлинности выберите управляемое удостоверение.

        

        Теперь в разделе проверки подлинности показаны следующие параметры:

        • Список управляемых удостоверений , из которого можно выбрать определенное управляемое удостоверение.

        • Свойство Аудитории отображается на определенных триггерах и действиях, чтобы задать идентификатор ресурса для целевого ресурса или службы Azure. В противном случае свойство Аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

        

     3. В списке управляемых удостоверений выберите удостоверение, которое вы хотите использовать, например:

        

        Note

        Выбранный по умолчанию параметр — управляемое удостоверение, назначаемое системой, даже если у вас нет управляемых удостоверений.

        Чтобы успешно использовать управляемое удостоверение, необходимо сначала включить это удостоверение в приложении логики. В приложении логики уровня "Стандартный" можно определить и включить управляемое удостоверение, назначаемое системой, и назначаемое пользователем. Однако приложение логики должно одновременно использовать только одно управляемое удостоверение.

        Например, рабочий процесс, который обращается к разным сущностям обмена сообщениями служебной шины Azure, должен использовать только одно управляемое удостоверение. См. статью "Подключение к служебной шине Azure" из рабочих процессов.

     Дополнительные сведения см. в примере: проверка подлинности встроенного триггера или действия с помощью управляемого удостоверения.

   • Операции управляемого соединителя, поддерживающие проверку подлинности управляемых удостоверений

     1. В области "Создание подключения " в списке проверки подлинности выберите управляемое удостоверение, например:

        

     2. На следующей панели в поле "Имя подключения" укажите имя, используемое для подключения.

     3. Для типа проверки подлинности выберите один из следующих вариантов на основе управляемого соединителя:

        • Одиночная проверка подлинности: эти соединители поддерживают только один тип проверки подлинности, который является управляемым удостоверением в данном случае.

          1. В списке управляемых удостоверений выберите текущее управляемое удостоверение с поддержкой.

          2. Когда вы будете готовы, нажмите кнопку "Создать".

        • Многофакторная проверка подлинности: эти соединители поддерживают несколько типов проверки подлинности, но вы можете выбрать и использовать только один тип одновременно.

          Эти действия продолжаются с помощью действия хранилища BLOB-объектов Azure в качестве примера.

          1. В списке типов проверки подлинности выберите "Управляемое удостоверение Logic Apps".

             

          2. В списке управляемых удостоверений выберите удостоверение, которое вы хотите использовать.

             

          3. Когда вы будете готовы, нажмите кнопку "Создать".

        Дополнительные сведения см. в разделе "Пример: проверка подлинности триггера или действия управляемого соединителя с помощью управляемого удостоверения".

1. В конструкторе рабочих процессов добавьте любой нужный триггер, а затем добавьте действие HTTP .

   В следующем примере показан пример действия HTTP со всеми ранее описанными значениями свойств, используемыми для операции моментального снимка BLOB-объектов:

   

2. В действии HTTP добавьте свойство Authentication . В списке дополнительных параметров выберите "Проверка подлинности".

   

   Теперь раздел проверки подлинности отображается в действииHTTP .

   Note

   Не все триггеры и действия поддерживают добавление типа проверки подлинности. Дополнительные сведения см. в разделе "Типы проверки подлинности" для триггеров и действий, поддерживающих проверку подлинности.

3. В списке типов проверки подлинности выберите управляемое удостоверение.

   

4. В списке управляемых удостоверений выберите доступные параметры в зависимости от вашего сценария.

   • Если вы настроили удостоверение, назначаемое системой, выберите управляемое удостоверение, назначаемое системой.

     

   • Если вы настроили удостоверение, назначаемое пользователем, выберите это удостоверение.

     

   В этом примере продолжается управляемое удостоверение, назначаемое системой.

5. В некоторых триггерах и действиях отображается свойство Аудитории , чтобы задать идентификатор ресурса для целевого ресурса или службы Azure.

   Например, чтобы пройти проверку подлинности доступа к ресурсу Key Vault в глобальном облаке Azure, необходимо задать для свойства Аудиторииименно следующий идентификатор ресурса: https://vault.azure.net

   Если свойство Аудитории не задано по умолчанию, свойство Аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

   Important

   Убедитесь, что идентификатор целевого ресурса точно соответствует значению, которое ожидает идентификатор Microsoft Entra. В противном случае может возникнуть 400 Bad Request ошибка или 401 Unauthorized ошибка. Таким образом, если идентификатор ресурса включает в себя все конечные косые черты, обязательно включите их. В противном случае не включайте их.

   Например, идентификатор ресурса для всех учетных записей хранения BLOB-объектов Azure требует косой черты. Однако идентификатор ресурса для определенной учетной записи хранения не требует косой черты. Проверьте идентификаторы ресурсов для служб Azure, поддерживающих идентификатор Microsoft Entra.

   В этом примере свойство Аудитории устанавливается так https://storage.azure.com/ , чтобы маркеры доступа, используемые для проверки подлинности, действительны для всех учетных записей хранения. Однако можно также указать URL-адрес https://<your-storage-account>.blob.core.windows.netкорневой службы для определенной учетной записи хранения.

   

   Дополнительные сведения об авторизации доступа с помощью идентификатора Microsoft Entra для службы хранилища Azure см. в следующей документации:

   • Авторизация доступа к большим двоичным объектам Azure и очередям с помощью идентификатора Microsoft Entra

   • Авторизация доступа к службе хранилища Azure с помощью OAuth

6. Продолжайте создавать рабочий процесс так, как вы хотите.

1. В конструкторе рабочих процессов добавьте любой нужный триггер, а затем добавьте действие HTTP .

   В следующем примере показан пример действия HTTP со всеми ранее описанными значениями свойств, используемыми для операции моментального снимка BLOB-объектов:

   

2. В действии HTTP добавьте свойство Authentication . В списке дополнительных параметров выберите "Проверка подлинности".

   

   Теперь раздел проверки подлинности отображается в действииHTTP .

   Note

   Не все триггеры и действия поддерживают добавление типа проверки подлинности. Дополнительные сведения см. в разделе "Типы проверки подлинности" для триггеров и действий, поддерживающих проверку подлинности.

3. В списке типов проверки подлинности выберите управляемое удостоверение.

   

4. В списке управляемых удостоверений выберите доступные параметры в зависимости от вашего сценария.

   • Если вы настроили удостоверение, назначаемое системой, выберите управляемое удостоверение, назначаемое системой.

     

   • Если вы настроили удостоверение, назначаемое пользователем, выберите это удостоверение.

     

   В этом примере продолжается управляемое удостоверение, назначаемое системой.

5. В некоторых триггерах и действиях отображается свойство Аудитории , чтобы задать идентификатор ресурса для целевого ресурса или службы Azure.

   Например, чтобы пройти проверку подлинности доступа к ресурсу Key Vault в глобальном облаке Azure, необходимо задать для свойства Аудиторииименно следующий идентификатор ресурса: https://vault.azure.net

   Если свойство Аудитории не задано по умолчанию, свойство Аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

   Important

   Убедитесь, что идентификатор целевого ресурса точно соответствует значению, которое ожидает идентификатор Microsoft Entra. В противном случае может возникнуть 400 Bad Request ошибка или 401 Unauthorized ошибка. Таким образом, если идентификатор ресурса включает в себя все конечные косые черты, обязательно включите их. В противном случае не включайте их.

   Например, идентификатор ресурса для всех учетных записей хранения BLOB-объектов Azure требует косой черты. Однако идентификатор ресурса для определенной учетной записи хранения не требует косой черты. Проверьте идентификаторы ресурсов для служб Azure, поддерживающих идентификатор Microsoft Entra.

   В этом примере свойство Аудитории устанавливается так https://storage.azure.com/ , чтобы маркеры доступа, используемые для проверки подлинности, действительны для всех учетных записей хранения. Однако можно также указать URL-адрес https://<your-storage-account>.blob.core.windows.netкорневой службы для определенной учетной записи хранения.

   

   Дополнительные сведения об авторизации доступа с помощью идентификатора Microsoft Entra для службы хранилища Azure см. в следующей документации:

   • Авторизация доступа к большим двоичным объектам Azure и очередям с помощью идентификатора Microsoft Entra

   • Авторизация доступа к службе хранилища Azure с помощью OAuth

6. Продолжайте создавать рабочий процесс так, как вы хотите.

1. В конструкторе рабочих процессов добавьте действие Azure Resource Manager с именем "Чтение ресурса".

2. На панели "Создание подключения" в списке проверки подлинности выберите "Управляемое удостоверение" и нажмите кнопку "Войти".

   Note

   В других соединителях список типов проверки подлинности отображает управляемое удостоверение Logic Apps , поэтому выберите этот параметр.

   

3. Укажите имя подключения и выберите управляемое удостоверение, которое вы хотите использовать.

   Если вы включили удостоверение, назначаемое системой, список управляемых удостоверений автоматически выбирает управляемое удостоверение, назначаемое системой. Если вместо этого вы включили удостоверение, назначаемое пользователем, список автоматически выбирает удостоверение, назначаемое пользователем.

   В этом примере управляемое удостоверение, назначаемое системой , является единственным доступным выбором.

   

   Note

   Если управляемое удостоверение не включено при попытке создать или изменить подключение, или если управляемое удостоверение было удалено во время подключения с поддержкой управляемого удостоверения, возникает ошибка, которая говорит, что необходимо включить удостоверение и предоставить доступ к целевому ресурсу.

4. Когда вы будете готовы, нажмите кнопку "Создать".

5. После успешного создания подключения конструктор может получить любые динамические значения, содержимое или схему с помощью проверки подлинности управляемого удостоверения.

6. Продолжайте создавать рабочий процесс так, как вы хотите.

1. В конструкторе рабочих процессов добавьте действие Azure Resource Manager с именем "Чтение ресурса".

2. На панели "Создание подключения" в списке проверки подлинности выберите "Управляемое удостоверение" и нажмите кнопку "Войти".

   Note

   В других соединителях список типов проверки подлинности отображает управляемое удостоверение Logic Apps , поэтому выберите этот параметр.

   

3. Укажите имя подключения и выберите управляемое удостоверение, которое вы хотите использовать.

   По умолчанию ресурсы приложения логики уровня "Стандартный" автоматически включают удостоверение, назначаемое системой. Таким образом, список управляемых удостоверений автоматически выбирает управляемое удостоверение, назначаемое системой. Если вы также включили одно или несколько удостоверений, назначенных пользователем, список управляемых удостоверений отображает все управляемые удостоверения, включенные в данный момент, например:

   

   Note

   Если управляемое удостоверение не включено при попытке создать или изменить подключение, или если управляемое удостоверение было удалено во время подключения с поддержкой управляемого удостоверения, возникает ошибка, которая говорит, что необходимо включить удостоверение и предоставить доступ к целевому ресурсу.

4. Когда вы будете готовы, нажмите кнопку "Создать".

5. После успешного создания подключения конструктор может получить любые динамические значения, содержимое или схему с помощью проверки подлинности управляемого удостоверения.

6. Продолжайте создавать рабочий процесс так, как вы хотите.

В ресурсе приложения логики потребления конфигурация подключения сохраняется в объекте определения parameters ресурса, который содержит $connections объект, содержащий указатели на идентификатор ресурса подключения, а также идентификатор ресурса управляемого удостоверения при включении удостоверения, назначаемого пользователем.

В этом примере показана parameters конфигурация объекта, когда приложение логики включает удостоверение, назначаемое системой :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

В этом примере показана parameters конфигурация объекта, когда приложение логики включает управляемое удостоверение, назначаемое пользователем :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

В ресурсе приложения логики уровня "Стандартный" конфигурация подключения сохраняется в файле ресурса приложения логики или проекта connections.json , который содержит managedApiConnections сведения о конфигурации подключения для каждого управляемого соединителя, используемого в рабочем процессе. Эти сведения о подключении включают указатели на идентификатор ресурса подключения вместе со свойствами управляемого удостоверения, такими как идентификатор ресурса при включении удостоверения, назначаемого пользователем.

В этом примере показана managedApiConnections конфигурация объекта, когда приложение логики включает удостоверение, назначаемое системой :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

В этом примере показана managedApiConnections конфигурация объекта, когда приложение логики включает удостоверение, назначаемое пользователем :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

В следующих примерах применяются к ресурсам приложения логики потребления и показано, как определение ресурса базового соединителя отличается между соединителем с одной проверкой подлинности и соединителем с несколькими проверками подлинности.

Single-authentication

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает только один тип проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики потребления, где определение включает следующие атрибуты:

• Свойство kind имеет значение V1 для приложения логики потребления.

• Для свойства parameterValueType задано значение Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Multi-authentication

В этом примере показано базовое определение ресурса подключения для действия соединителя, которое поддерживает несколько типов проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики потребления, где определение включает следующие атрибуты:

• Свойство kind имеет значение V1 для приложения логики потребления.

• Объект parameterValueSet содержит name свойство, для которое задано значение, и managedIdentityAuth свойство, values заданное для пустого объекта.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

В следующих примерах применяются к ресурсам приложения логики уровня "Стандартный" и показано, как определение ресурса базового соединителя соединителя отличается от соединителя с одной проверкой подлинности и соединителем с несколькими проверками подлинности.

Single-authentication

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает только один тип проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики уровня "Стандартный", где определение включает следующие атрибуты:

• Свойство kind имеет значение V2 для приложения логики "Стандартный".

• Для свойства parameterValueType задано значение Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Multi-authentication

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает несколько типов проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики "Стандартный", где определение включает следующие атрибуты:

• Свойство kind имеет значение V2 для приложения логики "Стандартный".

• Объект parameterValueSet содержит name свойство, для которое задано значение, и managedIdentityAuth свойство, values заданное для пустого объекта.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

В последующем определении ресурса Microsoft.Web/connections убедитесь, что вы добавите политику доступа, указывающую определение ресурса для каждого подключения API и укажите следующие сведения:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Дополнительные сведения см. в статье Microsoft.Web/connections/accesspolicies (шаблон ARM).