Проверка подлинности подключений рабочих процессов к защищенным ресурсам Azure с помощью управляемых удостоверений в Azure Logic Apps

В ресурсе приложения логики потребления вручную включите назначаемое системой удостоверение.

1. На портале Azure откройте ресурс приложения логики потребления.

2. На боковой панели приложения логики, в разделе Параметры, выберите Удостоверение.

3. На странице "Удостоверение" в разделе "Системное назначение" выберите "Включено", затем нажмите "Сохранить". Нажмите Да для подтверждения.

   

   Ресурс приложения логики теперь может использовать удостоверение, назначаемое системой. Эта учетная запись зарегистрирована в Microsoft Entra ID и представлена идентификатором объекта.

   

   Свойство	Значение	Описание
   Идентификатор основного объекта	< identity-resource-ID>	Глобальный уникальный идентификатор (GUID), представляющий удостоверение, назначаемое системой для приложения логики в клиенте Microsoft Entra.

4. Предоставьте удостоверению доступ к защищенному ресурсу.

В ресурсе стандартного приложения логики системное удостоверение автоматически включается. Если необходимо активировать аккаунт, выполните следующие действия.

1. На портале Azure откройте своё стандартное логическое приложение.

2. На боковой панели логического приложения, в разделе "Параметры", выберите "Удостоверение".

3. На странице "Удостоверение" в разделе "Системные назначения" нажмите "Вкл.", затем нажмите "Сохранить". Нажмите Да для подтверждения.

   

   Ресурс приложения логики теперь может использовать удостоверение, назначаемое системой. Эта учетная запись зарегистрирована в Microsoft Entra ID и представлена идентификатором объекта.

   

   Свойство	Значение	Описание
   Идентификатор основного объекта	< identity-resource-ID>	Глобальный уникальный идентификатор (GUID), представляющий удостоверение, назначаемое системой для приложения логики в клиенте Microsoft Entra.

4. Предоставьте идентификатору доступ к защищенному ресурсу.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. На портале Azure откройте ресурс приложения логики потребления.

2. На боковой панели логического приложения в разделе Параметры выберите Идентификация.

3. На странице "Удостоверение" выберите "Назначенные пользователи", а затем выберите "Добавить".

   

4. В разделе Добавление управляемой идентичности, назначенной пользователем выполните следующие действия.

   1. В списке "Выбор подписки" выберите подписку Azure.

   2. В списке управляемых удостоверений выберите назначенное пользователем удостоверение, которое вам нужно.

      Чтобы отфильтровать список, в поле поиска назначаемых пользователем управляемых удостоверений введите имя удостоверения или группы ресурсов, например:

      

   3. По завершении нажмите кнопку "Добавить".

   Теперь логическое приложение связано с назначенной пользователем идентичностью.

   

5. Предоставьте удостоверению доступ к защищенному ресурсу.

1. На портале Azure откройте ресурс Logic App стандартного типа.

2. На боковой панели логического приложения в разделе Параметры выберите Удостоверение.

3. На странице "Удостоверение" выберите "Назначенные пользователи", а затем выберите "Добавить".

   

4. В разделе Добавление управляемой идентичности, назначенной пользователем выполните следующие действия.

   1. В списке "Выбор подписки" выберите подписку Azure.

   2. В списке управляемых удостоверений выберите назначенное пользователем удостоверение, которое вам нужно.

      Чтобы отфильтровать список, в поле поиска управляемых удостоверений, назначенных пользователем, введите имя удостоверения или группы ресурсов, например:

      

   3. По завершении нажмите кнопку "Добавить".

      Теперь логическое приложение связано с назначенной пользователем идентичностью.

      

   4. Чтобы добавить другое пользовательское удостоверение, повторите эти действия.

5. Предоставьте удостоверению доступ к защищенному ресурсу.

В следующем примере показан ресурс приложения логики потребления и определение рабочего процесса для HTTP-запроса PUT с непараметризованным identity объектом. Ответ на PUT запрос и последующую GET операцию также включает этот identity объект.

Ресурс приложения логики потребления может включать и иметь как назначаемое системой удостоверение, так и несколько удостоверений, назначенных пользователем.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Если ваш шаблон включает определение ресурса управляемого удостоверения, можно параметризовать объект identity. В следующем примере показано, как userAssignedIdentities дочерний объект ссылается на переменную userAssignedIdentityName, которую вы определяете в разделе variables вашего шаблона. Эта переменная ссылается на идентификатор ресурса для пользовательской назначенной идентичности.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

В следующем примере показан ресурс приложения логики уровня "Стандартный" и определение рабочего процесса для HTTP-запроса PUT с непараметризованным identity объектом. Ответ на PUT запрос и последующую GET операцию также включает этот identity объект.

Ресурс стандартного логического приложения может содержать и систему назначенной идентификации, и несколько пользовательских идентификаций. Определение ресурса стандартного логического приложения основано на определении ресурса приложения функций Azure.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Если ваш шаблон включает определение ресурса для управляемого удостоверения, можно задать параметры объекта identity. В следующем примере показано, как дочерний объект userAssignedIdentities ссылается на переменную userAssignedIdentityName, которую вы определили в разделе variables вашего шаблона. Эта переменная ссылается на идентификатор ресурса для пользовательской назначенной идентичности.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

1. На портале Azure откройте ресурс приложения логики потребления.

2. Добавьте триггер или действие, которое поддерживает управляемые удостоверения, если вы еще не сделали этого.

3. В триггере или действии выполните следующие действия.

   • Встроенные операции

     Эти действия используют действие HTTP в качестве примера.

     1. В списке дополнительных параметров выберите параметр проверки подлинности .

        

        Отображаются параметры проверки подлинности и список типов проверки подлинности , например:

        

     2. В списке типов проверки подлинности выберите управляемое удостоверение.

        

        Теперь в разделе проверки подлинности показаны следующие параметры:

        Параметр	Описание
        Управляемая идентичность	Управляемое удостоверение для использования.
        Публика	Появляется для определенных триггеров и действий, так что вы можете установить идентификатор ресурса для целевого ресурса или службы Azure. По умолчанию параметр аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

     3. В списке управляемых идентификаций выберите нужную идентификацию, например:

        

        Примечание

        По умолчанию управляемое удостоверение, назначаемое системой , является выбранным параметром, даже если вы не включаете управляемые удостоверения. Однако для успешного использования управляемого удостоверения необходимо сначала включить это удостоверение в вашем логическом приложении. Потребительские приложения логики не автоматически включают системное удостоверение в отличие от стандартных приложений логики.

     Дополнительные сведения см. в примере: проверка подлинности встроенного триггера или действия с помощью управляемого удостоверения.

   • Операции управляемого соединителя

     1. В области "Создание подключения " в списке проверки подлинности выберите управляемое удостоверение, например:

        

     2. В следующей области для имени подключения введите имя, используемое для подключения.

     3. В зависимости от вашего коннектора выберите один из следующих вариантов.

        • Одиночная проверка подлинности: эти соединители поддерживают только один тип проверки подлинности, который является управляемым удостоверением в данном случае.

          Следующие действия используют действие ресурса Azure в качестве примера:

          1. В списке управляемых удостоверений выберите текущее управляемое удостоверение.

          2. Выберите Создать новое.

        • Многофакторная проверка подлинности: эти соединители поддерживают несколько типов проверки подлинности, но вы можете выбрать и использовать только один тип одновременно.

          Следующие шаги используют действие хранилища BLOB-объектов Azure в качестве примера.

          1. В списке типов проверки подлинности выберите "Управляемое удостоверение Logic Apps".

             

          2. Выберите Создать новое.

          Дополнительные сведения см. в разделе "Пример: проверка подлинности триггера или действия управляемого соединителя с помощью управляемого удостоверения".

1. На портале Azure откройте своё стандартное логическое приложение.

2. Добавьте триггер или действие, которое поддерживает управляемые удостоверения, если вы этого еще не сделали.

3. В триггере или действии выполните следующие действия.

   • Встроенные операции

     Эти действия используют действие HTTP в качестве примера.

     1. В списке дополнительных параметров выберите параметр проверки подлинности .

        

        Параметр проверки подлинности и список типов проверки подлинности отображаются в действии, например:

        

     2. В списке типов проверки подлинности выберите управляемое удостоверение.

        

        Теперь в разделе проверки подлинности показаны следующие параметры:

        Параметр	Описание
        Управляемая идентичность	Управляемое удостоверение для использования.
        Публика	Появляется при выполнении специфических триггеров и действий, чтобы вы могли установить идентификатор ресурса для целевого ресурса или службы Azure. По умолчанию параметр аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

        

     3. В списке Managed Identity выберите нужную идентичность, например:

        

        Примечание

        По умолчанию управляемое удостоверение, назначаемое системой , является выбранным параметром, даже если вы не включаете управляемые удостоверения. По умолчанию системное удостоверение автоматически включается для стандартных логических приложений. Хотя эти приложения логики могут включать несколько удостоверений, они могут использовать только одно удостоверение одновременно.

        Например, рабочий процесс, который обращается к разным сущностям обмена сообщениями служебной шины Azure, должен использовать только одно управляемое удостоверение. Дополнительные сведения см. в статье "Подключение к служебной шине Azure" из рабочих процессов.

     Дополнительные сведения см. в примере: проверка подлинности встроенного триггера или действия с помощью управляемого удостоверения.

   • Операции управляемого соединителя

     1. В области "Создание подключения " в списке проверки подлинности выберите управляемое удостоверение, например:

        

     2. В следующей области для имени подключения введите имя, используемое для подключения.

     3. На основе вашего коннектора выберите один из следующих вариантов:

        • Одиночная проверка подлинности: эти соединители поддерживают только один тип проверки подлинности, который является управляемым удостоверением в данном случае.

          Следующие шаги выполняются с использованием действия ресурса Azure в качестве примера.

          1. В списке управляемых удостоверений выберите текущее управляемое удостоверение.

          2. Выберите Создать новое.

        • Многофакторная проверка подлинности: эти соединители поддерживают несколько типов проверки подлинности, но вы можете выбрать и использовать только один тип одновременно.

          В следующих шагах в качестве примера используется действие с Azure Blob Storage.

          1. В списке типов проверки подлинности выберите "Управляемое удостоверение Logic Apps".

             

          2. В списке Управляемых идентификаторов выберите идентификатор.

             

          3. Выберите Создать новое.

        Дополнительные сведения см. в разделе "Пример: проверка подлинности триггера или действия управляемого соединителя с помощью управляемого удостоверения".

1. В конструкторе рабочих процессов добавьте любой нужный триггер, а затем добавьте действие HTTP .

   В следующем примере показан пример действия HTTP со всеми ранее описанными значениями свойств, используемыми для операции моментального снимка BLOB-объектов:

   

2. В действии HTTP в списке дополнительных параметров выберите "Проверка подлинности".

   

   Раздел проверки подлинности появляется в действии HTTP.

3. В списке типов проверки подлинности выберите управляемое удостоверение.

   

4. В списке управляемых удостоверений выберите доступные параметры в зависимости от вашего сценария.

   • Если вы настроили удостоверение, назначаемое системой, выберите управляемое удостоверение, назначаемое системой.

     

   • Если вы настроили удостоверение, назначаемое пользователем, выберите это удостоверение.

     

   В этом примере продолжается использование управляемого удостоверения, назначенного системой.

5. Некоторые триггеры и действия показывают параметр аудитории, чтобы можно было ввести идентификатор для целевого ресурса или службы Azure.

   Например, чтобы пройти проверку подлинности доступа к ресурсу Key Vault в глобальном облаке Azure, задайте параметр аудиторииточно следующим идентификатором ресурса: https://vault.azure.net

   В противном случае параметр аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

   Важно

   Идентификатор целевого ресурса должен точно соответствовать значению, которое ожидает идентификатор Microsoft Entra. В противном случае может возникнуть ошибка 400 недопустимых запросов или 401 Несанкционированная ошибка. Если идентификатор ресурса содержит завершающие слэши, включите их. Если нет, не включайте их.

   Например, идентификатор ресурса для всех учетных записей Blob-хранилища Azure требует наличия завершающей косой черты. Однако идентификатор ресурса для определенной учетной записи хранения не требует окончания слэшем. Проверьте идентификаторы ресурсов для служб Azure, поддерживающих идентификатор Microsoft Entra.

   В следующем примере для параметра Аудитории задано значение https://storage.azure.com/. Это значение означает, что токены доступа для аутентификации действительны для всех учетных записей хранения. Для определенной учетной записи хранения укажите URL-адрес https://<your-storage-account>.blob.core.windows.netкорневой службы.

   

   Дополнительные сведения можно найти здесь

   • Авторизация доступа к блобам Azure и очередям с помощью Microsoft Entra ID
   • Авторизация доступа к службе хранилища Azure с помощью OAuth

6. Продолжайте создавать рабочий процесс на основе вашего сценария.

1. В конструкторе рабочих процессов добавьте любой нужный триггер, а затем добавьте действие HTTP .

   В следующем примере показан пример действия HTTP со всеми ранее описанными значениями свойств, используемыми для операции моментального снимка BLOB-объектов:

   

2. В действии HTTP в списке дополнительных параметров выберите "Проверка подлинности".

   

   Раздел Аутентификация отображается в действии HTTP.

3. В списке типов проверки подлинности выберите управляемое удостоверение.

   

4. В списке управляемых удостоверений выберите один из доступных параметров в зависимости от вашего сценария.

   • Если вы настроили удостоверение, назначаемое системой, выберите управляемое удостоверение, назначаемое системой.

     

   • Если вы настроили идентичность, назначенную пользователем, выберите её.

     

   В этом примере продолжается использование управляемого удостоверения, назначенного системой.

5. Некоторые триггеры и действия показывают параметр аудитории, чтобы можно было ввести идентификатор ресурса для целевого ресурса или службы Azure.

   Например, чтобы пройти проверку подлинности доступа к ресурсу Key Vault в глобальном облаке Azure, задайте параметр аудиторииточно следующим идентификатором ресурса: https://vault.azure.net

   В противном случае параметр аудитории использует https://management.azure.com/ идентификатор ресурса, который является идентификатором ресурса для Azure Resource Manager.

   Важно

   Идентификатор целевого ресурса должен точно соответствовать значению, которое ожидает идентификатор Microsoft Entra. В противном случае может возникнуть ошибка 400 недопустимых запросов или 401 Несанкционированная ошибка. Если идентификатор ресурса включает в себя любые конечные косые черты, включите их. Если нет, не включайте их.

   Например, идентификатор ресурса для всех учетных записей Blob-хранилища Azure требует наличия завершающей косой черты. Однако идентификатор ресурса для определенной учетной записи хранения не требует окончания слэшем. Проверьте идентификаторы ресурсов для служб Azure, поддерживающих идентификатор Microsoft Entra.

   В следующем примере для параметра Аудитории задано значение https://storage.azure.com/. Это значение означает, что токены доступа для аутентификации действительны для всех учетных записей хранилища. Для определенной учетной записи хранения укажите URL-адрес https://<your-storage-account>.blob.core.windows.netкорневой службы.

   

   Дополнительные сведения можно найти здесь

   • Авторизация доступа к блобам Azure и очередям с помощью Microsoft Entra ID
   • Авторизация доступа к службе хранилища Azure с помощью OAuth

6. Продолжайте создавать рабочий процесс на основе вашего сценария.

1. В конструкторе рабочих процессов добавьте действие Azure Resource Manager с именем "Чтение ресурса".

2. На панели "Создание подключения" в списке проверки подлинности выберите управляемое удостоверение и нажмите кнопку "Войти".

   Примечание

   В некоторых соединителях список типа аутентификации отображает управляемое удостоверение Logic Apps. Если в сценарии показан этот параметр, выберите этот параметр.

   

3. Введите имя подключения и выберите нужное управляемое удостоверение.

   Если вы включили удостоверение, назначаемое системой, список управляемых удостоверений автоматически выбирает управляемое удостоверение, назначаемое системой. Если вместо этого вы включили удостоверение, назначаемое пользователем, список автоматически выбирает удостоверение, назначаемое пользователем.

   В этом примере назначаемое системой управляемое удостоверение является единственным доступным выбором.

   

   Примечание

   Если вы не включаете управляемое удостоверение при попытке создать или изменить подключение, или если удалить управляемое удостоверение, пока подключение с поддержкой управляемого удостоверения по-прежнему существует, возникает ошибка, которая говорит, что необходимо включить удостоверение и предоставить доступ к целевому ресурсу.

4. По завершении нажмите кнопку "Создать".

   После того как вы создадите подключение, дизайнер может извлечь любые динамические значения, содержимое или схему, используя аутентификацию с помощью управляемого удостоверения.

5. Продолжайте создавать рабочий процесс на основе вашего сценария.

1. В конструкторе рабочих процессов добавьте действие Azure Resource Manager с именем "Чтение ресурса".

2. На панели "Создание подключения" в списке проверки подлинности выберите "Управляемое удостоверение", а затем нажмите кнопку "Войти".

   Примечание

   В некоторых соединителях в списке проверок подлинности отображается Управляемое удостоверение Logic Apps вместо этого. Если в сценарии показан этот параметр, выберите этот параметр.

   

3. Введите имя подключения и выберите нужное управляемое удостоверение.

   По умолчанию логические приложения ресурсы уровня "Стандартный" автоматически включают системно назначенную идентичность. Таким образом, в списке управляемых удостоверений выбрано управляемое удостоверение, назначаемое системой. Если вы включили одно или несколько удостоверений, назначаемых пользователем, список отображает все управляемые удостоверения, активные в данный момент, например:

   

   Примечание

   Если вы не включаете управляемое удостоверение при попытке создать или изменить подключение, или если удалить управляемое удостоверение, пока подключение с поддержкой управляемого удостоверения по-прежнему существует, возникает ошибка, которая говорит, что необходимо включить удостоверение и предоставить доступ к целевому ресурсу.

4. По завершении нажмите кнопку "Создать".

   После того как вы создадите подключение, дизайнер может извлечь любые динамические значения, содержимое или схему, используя аутентификацию с помощью управляемого удостоверения.

5. Продолжайте создавать рабочий процесс на основе вашего сценария.

В ресурсе приложения логики потребления вы сохраняете конфигурацию подключения в объекте определения parameters ресурса. Этот объект содержит $connections, и этот объект включает указатели на идентификатор ресурса подключения, а также на идентификатор ресурса управляемого удостоверения, когда вы включаете удостоверение, назначенное пользователем.

В следующем примере показан объект parameters, когда удостоверение назначаемое системой включено в логическом приложении.

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

В следующем примере показан объект parameters при включении управляемой идентификации назначенной пользователем в приложении логики.

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

В ресурсе приложения логики уровня "Стандартный" вы сохраняете конфигурацию подключения в ресурсе приложения логики или файле connections.json проекта. Этот файл содержит managedApiConnections объект, содержащий сведения о конфигурации подключения для каждого управляемого соединителя, используемого в рабочем процессе. Эта информация о подключении содержит указатели на идентификатор ресурса подключения вместе со свойствами управляемого удостоверения, такими как идентификатор ресурса, когда приложение логики включает удостоверение, назначаемое пользователем.

В этом примере показана managedApiConnections конфигурация объекта, когда приложение логики включает удостоверение, назначаемое системой :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

В этом примере показана managedApiConnections конфигурация объекта, когда приложение логики включает удостоверение, назначаемое пользователем :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

В следующих примерах применяются ресурсы приложения логики потребления. Они показывают, как определение ресурсов базового соединителя отличается между соединителем с одной проверкой подлинности и соединителем с несколькими проверками подлинности.

Однофакторная аутентификация

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает только один тип проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики потребления. Определение включает следующие атрибуты:

• Свойство kind имеет значение V1 для процесса потребления.

• Для свойства parameterValueType задано значение Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Несколько методов проверки подлинности

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает несколько типов проверки подлинности и использует управляемое удостоверение в рабочем процессе приложения логики потребления. Определение включает следующие атрибуты:

• Свойство kind имеет значение V1 для рабочего процесса потребления.

• Объект parameterValueSet включает свойство name, которому присвоено значение managedIdentityAuth, и свойство values, которому присвоено пустое объект.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

В следующих примерах, применимых к стандартным ресурсам приложения логики, показано, как определение подключаемого ресурса отличается у соединителя с одной аутентификацией и соединителя с несколькими аутентификациями.

Однофакторная аутентификация

В этом примере показано определение базового ресурса подключения для действия соединителя, которое поддерживает только один тип проверки подлинности и использует управляемое удостоверение в стандартном рабочем процессе приложения логики. Определение включает следующие атрибуты:

• Свойство kind установлено на значение V2 для стандартного рабочего процесса.

• Для свойства parameterValueType задано значение Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Несколько методов проверки подлинности

В этом примере приведено определение базового ресурса подключения для действия соединителя, поддерживающего несколько типов аутентификации, с использованием управляемого удостоверения в рабочем процессе стандартного приложения логики. Определение включает следующие атрибуты:

• Свойство kind установлено на V2 для стандартного приложения логики.

• Объект parameterValueSet включает свойство name, которому присвоено значение managedIdentityAuth, и свойство values, которому присвоено пустое объект.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

В последующем Microsoft.Web/connections определении ресурса необходимо добавить политику доступа, которая указывает определение ресурса для каждого подключения API и указать следующие сведения:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Дополнительные сведения см. в статье Microsoft.Web/connections/accesspolicies (шаблон ARM).