Authentifier les connexions de flux de travail aux ressources Azure protégées à l’aide d’identités managées dans Azure Logic Apps

Sur une application logique basée sur la consommation, activez manuellement l'identité attribuée par le système.

1. Dans le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Dans la barre latérale de l’application logique, sous Paramètres, sélectionnez Identité.

3. Dans la page Identité , sous Système affecté, sélectionnez Activé, puis Sélectionnez Enregistrer. Pour confirmer, sélectionnez Oui.

   

   Votre ressource d’application logique peut désormais utiliser l’identité affectée par le système. Cette identité est inscrite auprès de Microsoft Entra ID et est représentée par un ID d’objet.

   

   Propriété	Valeur	Description
   ID de l’objet (principal)	< identity-resource-ID>	GUID (identificateur global unique) qui représente l’identité affectée par le système pour votre application logique dans un locataire Microsoft Entra.

4. Donnez à l’identité l’accès à la ressource protégée.

Sur une ressource d’application logique Standard, l’identité affectée par le système est automatiquement activée. Si vous devez activer l’identité, procédez comme suit :

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Dans la barre latérale de l’application logique, sous Paramètres, sélectionnez Identité.

3. Dans la page Identité , sous Système affecté, sélectionnez Activé, puis Sélectionnez Enregistrer. Pour confirmer, sélectionnez Oui.

   

   Votre ressource d’application logique peut désormais utiliser l’identité affectée par le système. Cette identité est inscrite auprès de Microsoft Entra ID et est représentée par un ID d’objet.

   

   Propriété	Valeur	Description
   ID de l’objet (principal)	< identity-resource-ID>	GUID (identificateur global unique) qui représente l’identité affectée par le système pour votre application logique dans un locataire Microsoft Entra.

4. Donnez à l’identité l’accès à la ressource protégée.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Sur le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Dans la barre latérale de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sélectionnez Affectée par l’utilisateur, puis Ajouter.

   

4. Dans le volet Ajouter une identité managée affectée par l’utilisateur, effectuez les étapes suivantes :

   1. Dans la liste déroulante Sélectionner un Abonnement, sélectionnez votre abonnement Azure.

   2. Dans la liste des identités managées, sélectionnez l’identité souhaitée, attribuée par l'utilisateur.

      Pour filtrer la liste, dans la zone de recherche des identités managées affectées par l’utilisateur , entrez le nom de l’identité ou du groupe de ressources, par exemple :

      

   3. Lorsque vous avez terminé, sélectionnez Ajouter.

   Votre application logique est désormais associée à l’identité affectée par l’utilisateur.

   

5. Donnez à l’identité l’accès à la ressource protégée.

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Dans la barre latérale de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sélectionnez Affectée par l’utilisateur, puis Ajouter.

   

4. Dans le volet Ajouter une identité managée affectée par l’utilisateur, effectuez les étapes suivantes :

   1. Dans la liste déroulante Sélectionner un Abonnement, sélectionnez votre abonnement Azure.

   2. Dans la liste des identités gérées, sélectionnez l'identité utilisateur assignée que vous souhaitez.

      Pour filtrer la liste, dans la zone de recherche des identités managées affectées par l’utilisateur , entrez le nom de l’identité ou du groupe de ressources, par exemple :

      

   3. Lorsque vous avez terminé, sélectionnez Ajouter.

      Votre application logique est désormais associée à l’identité affectée par l’utilisateur.

      

   4. Pour ajouter une autre identité affectée par l’utilisateur, répétez ces étapes.

5. Donnez à l’identité l’accès à la ressource protégée.

L’exemple suivant montre une ressource d'application logique Consumption et une définition de flux de travail pour une requête HTTP PUT avec un objet non paramétré identity. La réponse à la demande PUT et à l'opération suivante GET inclut également cet objet identity.

Une ressource d'application logique Consommation peut disposer à la fois de l'identité attribuée par le système et de plusieurs identités attribuées par l'utilisateur.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Si votre modèle inclut la définition de ressource de l’identité managée, vous pouvez paramétrer l’objet identity . L’exemple suivant montre comment l’objet userAssignedIdentities enfant fait référence à une userAssignedIdentityName variable que vous définissez dans la section de variables votre modèle. Cette variable référence l’ID de ressource de l’identité affectée par l’utilisateur.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

L’exemple suivant montre une ressource d’application logique standard et une définition de flux de travail pour une requête HTTP PUT avec un objet nonparameterisé identity . La réponse à la demande PUT et à l'opération suivante GET inclut également cet objet identity.

Une ressource d’application logique Standard peut activer et utiliser à la fois l’identité affectée par le système et plusieurs identités affectées par l’utilisateur définies. La définition de ressource d’application logique standard est basée sur la définition de ressource d’application de fonction Azure Functions.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Si votre modèle inclut la définition de ressource de l’identité managée, vous pouvez paramétrer l’objet identity . L’exemple suivant montre comment l’objet userAssignedIdentities enfant fait référence à une userAssignedIdentityName variable que vous définissez dans la section de variables votre modèle. Cette variable référence l’ID de ressource de l’identité affectée par l’utilisateur.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

1. Dans le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Ajoutez le déclencheur ou l’action qui prend en charge les identités managées, si ce n’est déjà fait.

3. Sur le déclencheur ou l’action, procédez comme suit :

   • Opérations intégrées

     Ces étapes utilisent l’action HTTP comme exemple.

     1. Dans la liste des paramètres avancés , sélectionnez le paramètre d’authentification .

        

        Le paramètre d’authentification et la liste des types d’authentification s’affichent, par exemple :

        

     2. Dans la liste des types d’authentification , sélectionnez Identité managée.

        

        La section Authentification montre maintenant les options suivantes :

        Paramètre	Description
        Identité managée	Identité managée à utiliser.
        Public ciblé	Apparaît sur des déclencheurs et des actions spécifiques afin de pouvoir définir l’ID de ressource pour la ressource ou le service cible Azure. Par défaut, le paramètre Audience utilise l’ID https://management.azure.com/ de ressource, qui est l’ID de ressource pour Azure Resource Manager.

     3. Dans la liste des identités managées , sélectionnez l’identité souhaitée, par exemple :

        

        Remarque

        Par défaut, l’identité managée affectée par le système est l’option sélectionnée, même si vous n’activez aucune identité managée. Toutefois, pour utiliser correctement l’identité managée, vous devez d’abord activer cette identité sur votre application logique. Les applications logiques de consommation n’activent pas automatiquement l’identité système contrairement aux applications logiques standard.

     Pour plus d’informations, consultez l’article Exemple : authentifier le déclencheur ou l’action intégrés avec une identité managée.

   • Opérations de connecteur managé

     1. Dans le volet Créer une connexion , dans la liste d’authentification , sélectionnez Identité managée, par exemple :

        

     2. Dans le volet suivant, pour nom de connexion, entrez un nom à utiliser pour la connexion.

     3. En fonction de votre connecteur, choisissez l’une des options suivantes :

        • Authentification unique : ces connecteurs ne prennent en charge qu’un seul type d’authentification, qui est l’identité managée dans ce cas.

          Les étapes suivantes utilisent une action Azure Resource comme exemple :

          1. Dans la liste Identité managée, sélectionnez l’identité managée actuellement activée.

          2. Sélectionnez Créer nouveau.

        • Authentification multiple : ces connecteurs prennent en charge plusieurs types d’authentification, mais vous ne pouvez en sélectionner et en utiliser qu’un seul à la fois.

          Les étapes suivantes utilisent une action Stockage Blob Azure comme exemple :

          1. Dans la liste Type d’authentification, sélectionnez Identité managée Logic Apps.

             

          2. Sélectionnez Créer nouveau.

          Pour plus d’informations, consultez l’article Exemple : authentifier un déclencheur ou une action de connecteur managé avec une identité managée.

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Ajoutez le déclencheur ou l’action qui prend en charge les identités managées, si ce n’est déjà fait.

3. Sur le déclencheur ou l’action, procédez comme suit :

   • Opérations intégrées

     Ces étapes utilisent l’action HTTP comme exemple.

     1. Dans la liste des paramètres avancés , sélectionnez le paramètre d’authentification .

        

        Le paramètre d’authentification et la liste des types d’authentification apparaissent dans l’action, par exemple :

        

     2. Dans la liste des types d’authentification , sélectionnez Identité managée.

        

        La section Authentification montre maintenant les options suivantes :

        Paramètre	Description
        Identité managée	Identité managée à utiliser.
        Public ciblé	Apparaît sur des déclencheurs et des actions spécifiques afin de pouvoir définir l’ID de ressource pour la ressource ou le service cible Azure. Par défaut, le paramètre Audience utilise l’ID https://management.azure.com/ de ressource, qui est l’ID de ressource pour Azure Resource Manager.

        

     3. Dans la liste des identités managées , sélectionnez l’identité souhaitée, par exemple :

        

        Remarque

        Par défaut, l’identité managée affectée par le système est l’option sélectionnée, même si vous n’activez aucune identité managée. Par défaut, les applications logiques standard activent automatiquement l’identité système. Bien que ces applications logiques puissent avoir plusieurs identités activées, elles ne peuvent utiliser qu’une seule identité à la fois.

        Par exemple, un workflow qui accède à différentes entités de messagerie Azure Service Bus ne doit utiliser qu’une seule identité managée. Pour plus d’informations, consultez Se connecter à Azure Service Bus à partir de flux de travail.

     Pour plus d’informations, consultez l’article Exemple : authentifier le déclencheur ou l’action intégrés avec une identité managée.

   • Opérations de connecteur managé

     1. Dans le volet Créer une connexion , dans la liste d’authentification , sélectionnez Identité managée, par exemple :

        

     2. Dans le volet suivant, pour nom de connexion, entrez un nom à utiliser pour la connexion.

     3. En fonction de votre connecteur, choisissez l’une des options suivantes :

        • Authentification unique : ces connecteurs ne prennent en charge qu’un seul type d’authentification, qui est l’identité managée dans ce cas.

          Les étapes suivantes continuent à l’aide d’une action Azure Resource comme exemple.

          1. Dans la liste Identité managée, sélectionnez l’identité managée actuellement activée.

          2. Sélectionnez Créer nouveau.

        • Authentification multiple : ces connecteurs prennent en charge plusieurs types d’authentification, mais vous ne pouvez en sélectionner et en utiliser qu’un seul à la fois.

          Les étapes suivantes utilisent une action Stockage Blob Azure comme exemple.

          1. Dans la liste Type d’authentification, sélectionnez Identité managée Logic Apps.

             

          2. Dans la liste des identités managées , sélectionnez l’identité.

             

          3. Sélectionnez Créer nouveau.

        Pour plus d’informations, consultez l’article Exemple : authentifier un déclencheur ou une action de connecteur managé avec une identité managée.

1. Dans le concepteur de flux de travail, ajoutez les déclencheurs souhaités, puis ajoutez l’action HTTP.

   L’exemple suivant montre un exemple d’action HTTP avec toutes les valeurs de propriété décrites précédemment à utiliser pour l’opération d’objet blob d’instantané :

   

2. Dans l’action HTTP , dans la liste des paramètres avancés , sélectionnez Authentification.

   

   La section Authentification s’affiche dans votre action HTTP .

3. Dans la liste des types d’authentification , sélectionnez Identité managée.

   

4. Dans la liste des identités managées , sélectionnez les options disponibles en fonction de votre scénario.

   • Si vous configurez l’identité affectée par le système, sélectionnez Identité managée affectée par le système.

     

   • Si vous configurez une identité affectée par l’utilisateur, sélectionnez cette identité.

     

   Cet exemple se poursuit avec l’identité managée affectée par le système.

5. Certains déclencheurs et actions affichent le paramètre Audience afin de pouvoir entrer l’ID de ressource pour la ressource ou le service Azure cible.

   Par exemple, pour authentifier l’accès à une ressource Key Vault dans le cloud Azure global, définissez le paramètre Audiencesur exactement l’ID de ressource suivant : https://vault.azure.net

   Sinon, par défaut, le paramètre Audience utilise l’ID https://management.azure.com/ de ressource, qui est l’ID de ressource pour Azure Resource Manager.

   Important

   L’ID de ressource cible doit correspondre exactement à la valeur attendue par Microsoft Entra ID. Sinon, vous pouvez obtenir une erreur de requête incorrecte 400 ou une erreur 401 non autorisée . Si l’ID de ressource inclut des barres obliques de fin, veuillez les inclure. Si ce n’est pas le cas, ne les incluez pas.

   Par exemple, l’ID de ressource pour tous les comptes de Stockage Blob Azure requiert une barre oblique finale. Toutefois, l’ID de ressource pour un compte de stockage spécifique ne requiert pas de barre oblique finale. Vérifiez les ID de ressources des services Azure qui prennent en charge Microsoft Entra ID.

   L’exemple suivant définit le paramètre Audience sur https://storage.azure.com/. Cette valeur signifie que les jetons d’accès pour l’authentification sont valides pour tous les comptes de stockage. Pour un compte de stockage spécifique, spécifiez l’URL du service racine. https://<your-storage-account>.blob.core.windows.net

   

   Pour en savoir plus, consultez :

   • Autoriser l’accès aux objets blob et aux files d’attente Azure en utilisant Microsoft Entra ID
   • Autoriser l’accès à Stockage Azure avec OAuth

6. Continuez à générer le flux de travail en fonction de votre scénario.

1. Dans le concepteur de flux de travail, ajoutez les déclencheurs souhaités, puis ajoutez l’action HTTP.

   L’exemple suivant montre un exemple d’action HTTP avec toutes les valeurs de propriété décrites précédemment à utiliser pour l’opération d’objet blob d’instantané :

   

2. Dans l’action HTTP , dans la liste des paramètres avancés , sélectionnez Authentification.

   

   La section Authentification s’affiche dans votre action HTTP .

3. Dans la liste des types d’authentification , sélectionnez Identité managée.

   

4. Dans la liste des identités managées , sélectionnez les options disponibles en fonction de votre scénario.

   • Si vous configurez l’identité affectée par le système, sélectionnez Identité managée affectée par le système.

     

   • Si vous configurez une identité affectée par l’utilisateur, sélectionnez cette identité.

     

   Cet exemple se poursuit avec l’identité managée affectée par le système.

5. Certains déclencheurs et actions affichent le paramètre Audience afin de pouvoir entrer l’ID de ressource pour la ressource ou le service Azure cible.

   Par exemple, pour authentifier l’accès à une ressource Key Vault dans le cloud Azure global, définissez le paramètre Audiencesur exactement l’ID de ressource suivant : https://vault.azure.net

   Sinon, par défaut, le paramètre Audience utilise l’ID https://management.azure.com/ de ressource, qui est l’ID de ressource pour Azure Resource Manager.

   Important

   L’ID de ressource cible doit correspondre exactement à la valeur attendue par Microsoft Entra ID. Sinon, vous pouvez obtenir une erreur de requête incorrecte 400 ou une erreur 401 non autorisée . Si l’ID de ressource inclut des barres obliques de fin, veuillez les inclure. Si ce n’est pas le cas, ne les incluez pas.

   Par exemple, l’ID de ressource pour tous les comptes de Stockage Blob Azure requiert une barre oblique finale. Toutefois, l’ID de ressource pour un compte de stockage spécifique ne requiert pas de barre oblique finale. Vérifiez les ID de ressources des services Azure qui prennent en charge Microsoft Entra ID.

   L’exemple suivant définit le paramètre Audience sur https://storage.azure.com/. Cette valeur signifie que les jetons d’accès pour l’authentification sont valides pour tous les comptes de stockage. Pour un compte de stockage spécifique, spécifiez l’URL du service racine. https://<your-storage-account>.blob.core.windows.net

   

   Pour en savoir plus, consultez :

   • Autoriser l’accès aux objets blob et aux files d’attente Azure en utilisant Microsoft Entra ID
   • Autoriser l’accès à Stockage Azure avec OAuth

6. Continuez à générer le flux de travail en fonction de votre scénario.

1. Dans le concepteur de flux de travail, ajoutez l’action Azure Resource Manager nommée Lire une ressource.

2. Dans le volet Créer une connexion , dans la liste d’authentification , sélectionnez Identité managée, puis connectez-vous.

   Remarque

   Dans certains connecteurs, la liste des types d’authentification affiche l’Identité managée Logic Apps plutôt. Si votre scénario affiche cette option, sélectionnez cette option.

   

3. Entrez un nom pour la connexion, puis sélectionnez l’identité managée souhaitée.

   Si vous avez activé une identité managée affectée par le système, la liste Identité managée sélectionne Identité managée affectée par le système. Si vous avez activé une identité affectée par l’utilisateur à la place, la liste sélectionne automatiquement l’identité affectée par l’utilisateur.

   Dans cet exemple, Identité managée affectée par le système est la seule sélection disponible.

   

   Remarque

   Si vous n’activez pas l’identité managée lorsque vous essayez de créer ou de modifier la connexion, ou si vous supprimez l’identité managée pendant qu’une connexion avec identité managée existe toujours, vous obtenez une erreur indiquant que vous devez activer l’identité et accorder l’accès à la ressource cible.

4. Quand vous avez terminé, sélectionnez Créer nouveau.

   Après avoir créé la connexion, le concepteur peut extraire toutes les valeurs dynamiques, le contenu ou le schéma à l’aide de l’authentification d’identité managée.

5. Continuez à générer le flux de travail en fonction de votre scénario.

1. Dans le concepteur de flux de travail, ajoutez l’action Azure Resource Manager nommée Lire une ressource.

2. Dans le volet Créer une connexion , dans la liste d’authentification , sélectionnez Identité managée, puis connectez-vous.

   Remarque

   Dans certains connecteurs, la liste Type d’authentification affiche Identité Gérée Logic Apps à la place. Si votre scénario affiche cette option, sélectionnez cette option.

   

3. Entrez un nom pour la connexion, puis sélectionnez l’identité managée souhaitée.

   Par défaut, les ressources d’application logique standard activent automatiquement l’identité affectée par le système. Par conséquent, dans la liste des identités managées , l’identité managée affectée par le système apparaît sélectionnée. Si vous avez activé une ou plusieurs identités affectées par l’utilisateur, la liste affiche toutes les identités managées actuellement activées, par exemple :

   

   Remarque

   Si vous n’activez pas l’identité managée lorsque vous essayez de créer ou de modifier la connexion, ou si vous supprimez l’identité managée pendant qu’une connexion avec identité managée existe toujours, vous obtenez une erreur indiquant que vous devez activer l’identité et accorder l’accès à la ressource cible.

4. Quand vous avez terminé, sélectionnez Créer nouveau.

   Après avoir créé la connexion, le concepteur peut extraire toutes les valeurs dynamiques, le contenu ou le schéma à l’aide de l’authentification d’identité managée.

5. Continuez à générer le flux de travail en fonction de votre scénario.

Dans une ressource de type application logique de Consommation, vous enregistrez la configuration de connexion dans l'objet de la définition de la ressource parameters. Cet objet contient l’objet $connections qui inclut des pointeurs vers l’ID de ressource de la connexion, ainsi que l’ID de ressource de l’identité managée lorsque vous activez l’identité affectée par l’utilisateur.

L’exemple suivant montre l’objet parameters lorsque l’identité affectée par le système est activée sur une application logique :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

L’exemple suivant montre l’objet parameters lorsque l’identité managée affectée par l’utilisateur est activée sur une application logique :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Dans une ressource d’application logique standard, vous enregistrez la configuration de connexion dans le fichier connections.json de la ressource d'application logique ou du projet. Ce fichier contient un managedApiConnections objet qui contient des informations de configuration de connexion pour chaque connecteur managé utilisé dans un flux de travail. Ces informations de connexion comprennent des pointeurs vers l’ID de ressource de la connexion, ainsi que les propriétés de l’identité managée, telles que l’ID de ressource lorsque la logic app active l’identité assignée par l'utilisateur.

Cet exemple montre la configuration de l’objet managedApiConnections lorsque l’application logique active l’identité affectée par le système :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Cet exemple montre la configuration de l’objet managedApiConnections lorsque l’application logique active l’identité affectée par l’utilisateur :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Les exemples suivants s’appliquent aux ressources de l’application logique Consommation. Ils montrent comment la définition de ressource de connecteur sous-jacente diffère entre un connecteur d’authentification unique et un connecteur multi-authentification.

Authentification unique

Cet exemple montre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge un seul type d’authentification et utilise une identité managée dans un flux de travail d’application logique Consommation. La définition inclut les attributs suivants :

• La kind propriété est définie V1 pour un flux de travail de consommation.

• La propriété parameterValueType est définie sur Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Plusieurs méthodes d’authentification

Cet exemple montre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge plusieurs types d’authentification et utilise une identité managée dans un flux de travail d’application logique Consommation. La définition inclut les attributs suivants :

• La propriété kind est définie sur V1 dans un flux de travail de consommation.

• L’objet parameterValueSet comprend une propriété name définie sur managedIdentityAuth, et une propriété values définie sur un objet vide.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Les exemples suivants s’appliquent aux ressources d’application logique Standard et montrent comment la définition de ressource de connecteur sous-jacente diffère entre un connecteur à authentification unique et un connecteur à authentification multiple.

Authentification unique

Cet exemple montre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge un seul type d’authentification et utilise une identité managée dans un flux de travail d’application logique standard. La définition inclut les attributs suivants :

• La kind propriété est définie V2 pour un flux de travail Standard.

• La propriété parameterValueType est définie sur Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Plusieurs méthodes d’authentification

Cet exemple montre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge plusieurs types d’authentification et utilise une identité managée dans un flux de travail d’application logique standard. La définition inclut les attributs suivants :

• La propriété kind est définie sur V2 pour une application logique Standard.

• L’objet parameterValueSet comprend une propriété name définie sur managedIdentityAuth, et une propriété values définie sur un objet vide.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Dans la définition de ressource suivante Microsoft.Web/connections , vous devez ajouter une stratégie d’accès qui spécifie une définition de ressource pour chaque connexion d’API et fournir les informations suivantes :

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Pour plus d’informations, consultez Microsoft.Web/connections/accesspolicies (modèle ARM).