Aggiungere l'autenticazione di Microsoft Entra per chiamare API personalizzate da Azure Logic Apps

Si applica a: Azure Logic Apps (Modalità a consumo)

Per migliorare la sicurezza delle chiamate alle API, è possibile configurare l'autenticazione di Microsoft Entra tramite il portale di Azure in modo da non dover aggiornare il codice. Oppure, è possibile richiedere e applicare l'autenticazione attraverso il codice dell'API.

È possibile aggiungere l'autenticazione nei modi seguenti:

• Nessuna modifica al codice: proteggere l'API con l'ID Entra di Microsoft tramite il portale di Azure, quindi non è necessario aggiornare il codice o ridistribuire l'API.

  Nota

  Per impostazione predefinita, l'autenticazione di Microsoft Entra selezionata nel portale di Azure non fornisce autorizzazioni con granularità fine. Ad esempio, questa autenticazione blocca l'API a un tenant specifico, non a un determinato utente o app.

• Aggiornare il codice dell'API: proteggere l'API applicando l'autenticazione del certificato o l'autenticazione di Microsoft Entra tramite codice.

Autenticare le chiamate all'API senza modificare il codice

Ecco i passaggi generali per questo metodo:

1. Creare due identità dell'applicazione Microsoft Entra (registrazione app): una per l'app logica e una per l'app web (o app API).

2. Per autenticare le chiamate all'API, usare le credenziali (ID client e segreto) per il servizio principale associato all'identità dell'applicazione Microsoft Entra per l'app logica.

3. Includere gli ID dell'applicazione nella definizione del flusso di lavoro dell'app logica.

Parte 1: Creare un'identità applicativa di Microsoft Entra per l'app logica

La risorsa Logic App utilizza questa identità dell'applicazione Microsoft Entra per autenticarsi con Microsoft Entra ID. È necessario configurare questa identità una sola volta per il tenant. Ad esempio, si può scegliere di usare la stessa identità per tutte le app per la logica, anche se è possibile creare identità univoche per ogni app per la logica. È possibile impostare queste identità nel Portale di Azure o usare PowerShell.

Parte 2: Creare un'identità dell'applicazione Microsoft Entra per l'app Web o l'app per le API

Se l'app Web o l'app per le API è già stata distribuita, è possibile attivare l'autenticazione e creare l'identità di applicazione nel portale di Azure. In alternativa, è possibile attivare l'autenticazione quando si effettua la distribuzione con un modello di Azure Resource Manager.

Creare l'identità dell'applicazione per un'app Web o un'app per le API distribuita nel portale di Azure

1. Nel portale di Azure individuare e selezionare l'app Web o l'app per le API.

2. In Impostazioni selezionare Autenticazione>Aggiungi provider di identità.

3. Dopo che si apre il riquadro Aggiungi provider di identità, nella scheda Base, dall'elenco Provider di identità, selezionare Microsoft per usare le identità di Microsoft Entra e quindi selezionare Aggiungi.

4. A questo punto, creare un'identità dell'applicazione per l'app Web o l'app per le API come indicato di seguito:

   1. Per Tipo di registrazione app, selezionare Crea nuova registrazione app.

   2. In Nome specificare un nome per l'identità dell'applicazione.

   3. Per Tipi di account supportati, selezionare i tipi di account appropriati per lo scenario.

   4. Per Limita l'accesso selezionare Richiedi autenticazione.

   5. Per Richieste non autenticate, selezionare l'opzione in base allo scenario in uso.

   6. Al termine, selezionare Aggiungi.

   Nella sezione Provider di identità viene ora visualizzata la nuova identità dell'applicazione per l'app Web o l'app per le API:

   

   Suggerimento

   Se l'identità dell'applicazione non viene visualizzata, sulla barra degli strumenti selezionare Aggiorna.

A questo punto è necessario trovare l'ID applicazione (client) e l'ID tenant per l'identità dell'applicazione appena creata per l'app Web o l'app per le API. Questi ID verranno usati nella Parte 3. Continuare quindi con i passaggi seguenti per il portale di Azure.

Trovare l'ID client e l'ID tenant dell'identità dell'applicazione per l'applicazione Web o applicazione API nel portale di Azure

1. Nel menu dell'app Web, in Gestisci, selezionare Autenticazione.

2. Nella sezione Provider di identità individuare l'identità dell'applicazione creata in precedenza. Selezionare il nome identificativo dell'applicazione.

   

3. Nella pagina Panoramica, trova i valori per ID applicazione (client) e ID directory (tenant). Copiare e salvare i valori da usare nella parte 3.

   

   Puoi anche utilizzare il GUID dell'ID tenant nel modello di distribuzione dell'app Web o dell'app per le API, se necessario. Questo GUID è il GUID del tenant specifico ("ID del tenant") e deve apparire in questo URL: https://sts.windows.net/<tenant-GUID>

Configurare l'autenticazione quando si esegue la distribuzione con un modello di Azure Resource Manager

Se si usa un modello di Azure Resource Manager ,è comunque necessario creare un'identità dell'applicazione Microsoft Entra per l'app Web o l'app per le API diversa dall'identità dell'app per la logica. Per creare l'identità dell'applicazione e quindi trovare l'ID client e l'ID tenant, seguire i passaggi precedenti descritti nella parte 2 per il portale di Azure. Si useranno sia l'ID client che l'ID tenant nel modello di distribuzione dell'app e anche per la parte 3.

Dopo aver ottenuto l'ID client e l'ID tenant, includerli come risorsa secondaria dell'app Web o app per le API nel modello di distribuzione:

"resources": [
   {
      "apiVersion": "2015-08-01",
      "name": "web",
      "type": "config",
      "dependsOn": ["[concat('Microsoft.Web/sites/','parameters('webAppName'))]"],
      "properties": {
         "siteAuthEnabled": true,
         "siteAuthSettings": {
            "clientId": "<client-ID>",
            "issuer": "https://sts.windows.net/<tenant-ID>/"
         }
      }
   }
]

Per distribuire automaticamente un'app Web vuota e un'app per la logica insieme all'autenticazione di Microsoft Entra, visualizzare il modello completo qui oppure selezionare il pulsante Distribuisci in Azure seguente:

Parte 3: Compilare la sezione Autorizzazione nell'app per la logica

Il modello precedente include già questa sezione di autorizzazione configurata, ma se si crea direttamente la definizione dell'app per la logica, è necessario includere la sezione di autorizzazione completa.

1. Apri la definizione dell'app logica nella visualizzazione del codice.

2. Passare alla definizione dell'azione HTTP , individuare la sezione Autorizzazione e includere le proprietà seguenti:

{
   "tenant": "<tenant-ID>",
   "audience": "<client-ID-from-Part-2-web-app-or-API app>",
   "clientId": "<client-ID-from-Part-1-logic-app>",
   "secret": "<secret-from-Part-1-logic-app>",
   "type": "ActiveDirectoryOAuth"
}

Ad esempio:

{
   "actions": {
      "HTTP": {
         "inputs": {
            "method": "POST",
            "uri": "https://your-api-azurewebsites.net/api/your-method",
            "authentication": {
               "tenant": "tenant-ID",
               "audience": "client-ID-from-azure-ad-app-for-web-app-or-api-app",
               "clientId": "client-ID-from-azure-ad-app-for-logic-app",
               "secret": "key-from-azure-ad-app-for-logic-app",
               "type": "ActiveDirectoryOAuth"
            }
         }
      }
   }
}

Chiamate API protette con codice

Autenticazione del certificato

Per convalidare le richieste in ingresso dal flusso di lavoro dell'app per la logica all'app Web o all'app per le API, è possibile usare i certificati client. Per configurare il codice, imparare come configurare l'autenticazione reciproca TLS.

Nella sezione Autorizzazione includere le proprietà seguenti:

{
   "type": "ClientCertificate",
   "password": "<password>",
   "pfx": "<long-pfx-key>"
}

Autenticazione di base

Per convalidare le richieste in ingresso dall'app per la logica all'app Web o app per le API, è possibile usare l'autenticazione di base, ad esempio un nome utente e una password. Anche se l'autenticazione di base è un modello comune ed è possibile usare questa autenticazione in qualsiasi linguaggio usato per compilare l'app Web o l'app per le API, usare sempre il livello di autenticazione migliore disponibile o supportato.

Nella sezione Autorizzazione includere le proprietà seguenti:

{
   "type": "Basic",
   "username": "<username>",
   "password": "<password>"
}

Autenticazione di Microsoft Entra con codice

Per impostazione predefinita, l'autenticazione di Microsoft Entra attivata nel portale di Azure non fornisce autorizzazioni con granularità fine. Ad esempio, questa autenticazione blocca l'API a un tenant specifico, non a un determinato utente o app.

Per limitare l'accesso dell'API all'app logica usando il codice, estrarre l'intestazione che contiene il token JSON Web (JWT). Verificare l'identità del chiamante e rifiutare le richieste che non corrispondono.

Passaggi successivi

• Distribuire e chiamare API personalizzate nei flussi di lavoro delle app logiche