Verbindingstoegang tot beveiligde Azure-resources verifiëren met behulp van beheerde identiteiten in Azure Logic Apps

Voor een consumption logic app workflow geeft de volgende tabel voorbeelden van connectors die authenticatie met beheerde identiteit ondersteunen.

Voor een werkstroom van een standaard logische app bevat de volgende tabel voorbeelden van connectors die ondersteuning bieden voor verificatie van beheerde identiteiten:

In een resource van de logische app Verbruik moet u de door het systeem toegewezen identiteit handmatig inschakelen.

1. Open in de Azure portal uw resource voor de Consumption Logic App.

2. Selecteer Identiteit in het menu van de logische app onder Instellingen.

3. Selecteer op de pagina Identiteit, onder Systeem toegewezen, de optie Opslaan>. Wanneer u wordt gevraagd om te bevestigen, selecteert u Ja.

   

   Opmerking

   Als u een foutbericht krijgt dat u slechts één beheerde identiteit kunt hebben, is uw logische app-resource al gekoppeld aan de door de gebruiker toegewezen identiteit. Voordat u de door het systeem toegewezen identiteit kunt toevoegen, moet u eerst de door de gebruiker toegewezen identiteit uit uw logische app-resource verwijderen.

   Uw logische app-resource kan nu de door het systeem toegewezen identiteit gebruiken. Deze identiteit wordt geregistreerd bij Microsoft Entra-id en wordt vertegenwoordigd door een object-id.

   

   Eigenschap	Waarde	Beschrijving
   Object-ID (hoofd-id)	< identity-resource-ID>	Een GUID (Globally Unique Identifier) die de door het systeem toegewezen identiteit vertegenwoordigt voor uw logische app in een Microsoft Entra-tenant.

4. Volg nu de stappen die de door het systeem toegewezen identiteit toegang geven tot de resource verderop in deze handleiding.

In een standaardresource voor logische apps wordt de door het systeem toegewezen identiteit automatisch ingeschakeld. Als u de identiteit wilt inschakelen, voert u de volgende stappen uit:

1. Open uw resource voor de standaard logische app in de Azure-portal.

2. Selecteer Identiteit in het menu van de logische app onder Instellingen.

3. Selecteer op de pagina Identiteit, onder Systeem toegewezen, de optie Opslaan>. Wanneer u wordt gevraagd om te bevestigen, selecteert u Ja.

   

   Uw logische app-resource kan nu de door het systeem toegewezen identiteit gebruiken, die is geregistreerd bij Microsoft Entra-id en wordt vertegenwoordigd door een object-id.

   

   Eigenschap	Waarde	Beschrijving
   Object-ID (hoofdgedeelte)	< identity-resource-ID>	Een GUID (Globally Unique Identifier) die de door het systeem toegewezen identiteit vertegenwoordigt voor uw logische app in een Microsoft Entra-tenant.

4. Volg nu de stappen die deze identiteit toegang geven tot de resource verderop in deze handleiding.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Open in de Azure-portal uw Verbruik-logica-app-resource.

2. Selecteer Identiteit in het menu van de logische app onder Instellingen.

3. Selecteer op de pagina Identiteit de optie Gebruiker toegewezen en selecteer vervolgens Toevoegen.

   

4. Voer in het deelvenster Door de gebruiker toegewezen beheerde identiteit toevoegen de volgende stappen uit:

   1. Selecteer uw Azure-abonnement in de lijst Een abonnement selecteren.

   2. Selecteer in de lijst met alle beheerde identiteiten in uw abonnement de door de gebruiker toegewezen identiteit die u wilt. Als u de lijst wilt filteren, voert u in het zoekvak Door de gebruiker toegewezen beheerde identiteiten de naam in voor de identiteit of resourcegroep.

      

   3. Wanneer u klaar bent, selecteert u Toevoegen.

      Opmerking

      Als u een foutmelding krijgt dat u slechts één beheerde identiteit kunt hebben, is uw logische app al gekoppeld aan de door het systeem toegewezen identiteit. Voordat u de door de gebruiker toegewezen identiteit kunt toevoegen, moet u eerst de door het systeem toegewezen identiteit uitschakelen.

   Uw logische app is nu gekoppeld aan de door de gebruiker toegewezen identiteit.

   

5. Volg nu de stappen die de identiteit toegang geven tot de resource verderop in deze handleiding.

1. Open uw Standaard logic-app resource in de Azure Portal.

2. Selecteer Identiteit in het menu van de logische app onder Instellingen.

3. Selecteer op de pagina Identiteit de optie Gebruiker toegewezen en selecteer vervolgens Toevoegen.

   

4. Voer in het deelvenster Door de gebruiker toegewezen beheerde identiteit toevoegen de volgende stappen uit:

   1. Selecteer uw Azure-abonnement in de lijst Een abonnement selecteren.

   2. Selecteer in de lijst met alle beheerde identiteiten in uw abonnement de door de gebruiker toegewezen identiteit die u wilt. Als u de lijst wilt filteren, voert u in het zoekvak Door de gebruiker toegewezen beheerde identiteiten de naam in voor de identiteit of resourcegroep.

      

   3. Wanneer u klaar bent, selecteert u Toevoegen.

      Uw logische app is nu gekoppeld aan de door de gebruiker toegewezen identiteit.

      

   4. Als u meerdere door de gebruiker toegewezen identiteiten wilt hebben, herhaalt u dezelfde stappen om deze identiteiten toe te voegen.

5. Volg nu de stappen die de identiteit toegang geven tot de resource verderop in deze handleiding.

In dit voorbeeld ziet u een resource en werkstroomdefinitie voor een HTTP PUT-verzoek met een niet-geparameteriseerd identiteitsobject. Het antwoord op de PUT-aanvraag en de volgende GET-bewerking bevat ook dit identiteitsobject :

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Als uw sjabloon ook de resourcedefinitie van de beheerde identiteit bevat, kunt u het identiteitsobject parameteriseren. In het volgende voorbeeld ziet u hoe het onderliggende object userAssignedIdentities verwijst naar een userAssignedIdentityName-variabele die u definieert in de sectie variabelen van uw sjabloon. Deze variabele verwijst naar de resource-id voor uw door de gebruiker toegewezen identiteit.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Een standaardresource voor logische apps kan zowel de door het systeem toegewezen identiteit als meerdere door de gebruiker toegewezen identiteiten inschakelen en laten definiëren. De resourcedefinitie van de Standaard Logic-app is gebaseerd op de resourcedefinitie van de Azure Functions-functie-app.

In dit voorbeeld toont een standaard logic app-resource en werkstroomdefinitie met een niet-geparameteriseerd identiteitsobject:

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Als uw sjabloon ook de resourcedefinitie van de beheerde identiteit bevat, kunt u het identiteitsobject parameteriseren. In het volgende voorbeeld ziet u hoe het onderliggende object userAssignedIdentities verwijst naar een userAssignedIdentityName-variabele die u definieert in de sectie variabelen van uw sjabloon. Deze variabele verwijst naar de resource-id voor uw door de gebruiker toegewezen identiteit.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Wanneer de sjabloon een logische app-resource maakt, bevat het identiteitsobject de volgende eigenschappen:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

De principalId-eigenschap is een unieke identifier voor de identiteit die wordt gebruikt voor Microsoft Entra-beheer. De waarde van de eigenschap clientId is een unieke identificatie voor de nieuwe identiteit van de logische app die wordt gebruikt om aan te geven welke identiteit moet worden gebruikt tijdens runtime-aanroepen. Raadpleeg de volgende documentatie voor meer informatie over Azure Resource Manager-sjablonen en beheerde identiteiten voor Azure Functions:

• ARM-sjabloon - Azure Functions

• Voeg een door de gebruiker toegewezen identiteit toe met behulp van een ARM-sjabloon voor Azure Functions.

1. Open in de Azure portal uw resource voor de Consumption Logic App.

2. Als u dit nog niet hebt gedaan, voegt u de trigger of actie toe die beheerde identiteiten ondersteunt.

   Opmerking

   Niet alle connectorbewerkingen bieden ondersteuning voor het toevoegen van een verificatietype. Zie Verificatietypen voor triggers en acties die ondersteuning bieden voor verificatie voor meer informatie.

3. Voer de volgende stappen uit op de trigger of actie die u hebt toegevoegd:

   • Ingebouwde connectorbewerkingen die ondersteuning bieden voor verificatie van beheerde identiteiten

     Deze stappen worden voortgezet door de HTTP-actie als voorbeeld te gebruiken.

     1. Voeg in de lijst Geavanceerde parameters de eigenschap Verificatie toe als de eigenschap nog niet wordt weergegeven.

        

        Nu worden zowel de eigenschap Verificatie als de lijst met verificatietypen weergegeven in de actie.

        

     2. In de lijst Verificatietype, selecteer Beheerde identiteit.

        

        In de sectie Verificatie ziet u nu de volgende opties:

        • Een lijst met beheerde identiteiten waaruit u een specifieke beheerde identiteit kunt selecteren

        • De eigenschap Doelgroep wordt weergegeven op specifieke triggers en acties, zodat u de resource-id voor de Azure-doelresource of -service kunt instellen. Anders gebruikt de eigenschap Doelgroep standaard de https://management.azure.com/ resource-id. Dit is de resource-id voor Azure Resource Manager.

     3. Selecteer in de lijst beheerde identiteit de identiteit die u wilt gebruiken, bijvoorbeeld:

        

        Opmerking

        De standaard geselecteerde optie is de door het systeem toegewezen beheerde identiteit, zelfs als u geen beheerde identiteiten hebt ingeschakeld.

        Als u een beheerde identiteit wilt gebruiken, moet u die identiteit eerst inschakelen in uw logische app. In een Verbruikslogische app kunt u een door het systeem toegewezen of door de gebruiker toegewezen gemanagede identiteit hebben, maar niet beide.

     Zie Voorbeeld: Ingebouwde trigger of actie verifiëren met een beheerde identiteit voor meer informatie.

   • Beheerde connectorbewerkingen die ondersteuning bieden voor verificatie van beheerde identiteiten

     1. Selecteer in het deelvenster Verbinding maken in de lijst Verificatie de optie Beheerde identiteit, bijvoorbeeld:

        

     2. Geef in het volgende deelvenster voor verbindingsnaam een naam op die u voor de verbinding wilt gebruiken.

     3. Kies voor het verificatietype een van de volgende opties op basis van uw beheerde connector:

        • Eén verificatie: deze connectors ondersteunen slechts één verificatietype. Dit is de beheerde identiteit in dit geval.

          1. Selecteer in de lijst beheerde identiteit de momenteel ingeschakelde beheerde identiteit.

          2. Wanneer u klaar bent, selecteert u Nieuwe maken.

        • Meervoudige verificatie: deze connectors ondersteunen meerdere verificatietypen, maar u kunt slechts één type tegelijk selecteren en gebruiken.

          Deze stappen worden voortgezet met behulp van een Azure Blob Storage-actie als voorbeeld.

          1. Selecteer in de lijst Verificatietypede beheerde identiteit van Logic Apps.

             

          2. Wanneer u klaar bent, selecteert u Nieuwe maken.

        Zie Voorbeeld: Trigger of actie van beheerde connector verifiëren met een beheerde identiteit voor meer informatie.

1. Open uw resource voor de standaard logische app in de Azure-portal.

2. Als u dit nog niet hebt gedaan, voegt u de trigger of actie toe die beheerde identiteiten ondersteunt.

   Opmerking

   Niet alle triggers en acties ondersteunen het toevoegen van een verificatietype. Zie Verificatietypen voor triggers en acties die ondersteuning bieden voor verificatie voor meer informatie.

3. Voer de volgende stappen uit op de trigger of actie die u hebt toegevoegd:

   • Ingebouwde bewerkingen die ondersteuning bieden voor verificatie van beheerde identiteiten

     Deze stappen worden voortgezet door de HTTP-actie als voorbeeld te gebruiken.

     1. Voeg in de lijst Geavanceerde parameters de eigenschap Verificatie toe als de eigenschap nog niet wordt weergegeven.

        

        Nu worden zowel de eigenschap Verificatie als de lijst met verificatietypen weergegeven in de actie.

        

     2. In de lijst Verificatietype, selecteer Beheerde identiteit.

        

        In de sectie Verificatie ziet u nu de volgende opties:

        • Een lijst met beheerde identiteiten waaruit u een specifieke beheerde identiteit kunt selecteren

        • De eigenschap Doelgroep wordt weergegeven op specifieke triggers en acties, zodat u de resource-id voor de Azure-doelresource of -service kunt instellen. Anders gebruikt de eigenschap Doelgroep standaard de https://management.azure.com/ resource-id. Dit is de resource-id voor Azure Resource Manager.

        

     3. Selecteer in de lijst beheerde identiteit de identiteit die u wilt gebruiken, bijvoorbeeld:

        

        Opmerking

        De standaard geselecteerde optie is de door het systeem toegewezen beheerde identiteit, zelfs als u geen beheerde identiteiten hebt ingeschakeld.

        Als u een beheerde identiteit wilt gebruiken, moet u die identiteit eerst inschakelen in uw logische app. In een standaard logische app kunt u zowel de door het systeem toegewezen als door de gebruiker toegewezen beheerde identiteit definiëren en inschakelen. Uw logische app mag echter slechts één beheerde identiteit tegelijk gebruiken.

        Een werkstroom die toegang heeft tot verschillende Azure Service Bus-berichtenentiteiten, moet bijvoorbeeld slechts één beheerde identiteit gebruiken. Zie Verbinding maken met Azure Service Bus vanuit werkstromen.

     Zie Voorbeeld: Ingebouwde trigger of actie verifiëren met een beheerde identiteit voor meer informatie.

   • Beheerde connectorbewerkingen die ondersteuning bieden voor verificatie van beheerde identiteiten

     1. Selecteer in het deelvenster Verbinding maken in de lijst Verificatie de optie Beheerde identiteit, bijvoorbeeld:

        

     2. Geef in het volgende deelvenster voor verbindingsnaam een naam op die u voor de verbinding wilt gebruiken.

     3. Kies voor het verificatietype een van de volgende opties op basis van uw beheerde connector:

        • Eén verificatie: deze connectors ondersteunen slechts één verificatietype. Dit is de beheerde identiteit in dit geval.

          1. Selecteer in de lijst beheerde identiteit de momenteel ingeschakelde beheerde identiteit.

          2. Wanneer u klaar bent, selecteert u Nieuwe maken.

        • Meervoudige verificatie: deze connectors ondersteunen meerdere verificatietypen, maar u kunt slechts één type tegelijk selecteren en gebruiken.

          Deze stappen worden voortgezet met behulp van een Azure Blob Storage-actie als voorbeeld.

          1. Selecteer in de lijst Verificatietypede beheerde identiteit van Logic Apps.

             

          2. Selecteer in de lijst beheerde identiteit de identiteit die u wilt gebruiken.

             

          3. Wanneer u klaar bent, selecteert u Nieuwe maken.

        Zie Voorbeeld: Trigger of actie van beheerde connector verifiëren met een beheerde identiteit voor meer informatie.

1. Voeg in de werkstroomontwerper een gewenste trigger toe en voeg vervolgens de HTTP-actie toe.

   In het volgende voorbeeld ziet u een HTTP-voorbeeldactie met alle eerder beschreven eigenschapswaarden die moeten worden gebruikt voor de momentopnameblobbewerking:

   

2. Voeg in de HTTP-actie de verificatie-eigenschap toe. Selecteer Verificatie in de lijst Geavanceerde parameters.

   

   De sectie Verificatie wordt nu weergegeven in uw HTTP-actie .

   Opmerking

   Niet alle triggers en acties ondersteunen het toevoegen van een verificatietype. Zie Verificatietypen voor triggers en acties die ondersteuning bieden voor verificatie voor meer informatie.

3. In de lijst Verificatietype, selecteer Beheerde identiteit.

   Schermopname toont de Consumptiewerkstroom, de HTTP-actie en de eigenschap Verificatietype met de geselecteerde optie voor Beheerde Identiteit.

4. Selecteer in de lijst beheerde identiteit de beschikbare opties op basis van uw scenario.

   • Als u de door het systeem toegewezen identiteit instelt, selecteert u Door het systeem toegewezen beheerde identiteit.

     

   • Als u de door de gebruiker toegewezen identiteit instelt, selecteert u die identiteit.

     

   In dit voorbeeld wordt de door het systeem toegewezen beheerde identiteit voortgezet.

5. Bij sommige triggers en acties wordt de eigenschap Doelgroep weergegeven, zodat u de resource-id voor de Azure-doelresource of -service kunt instellen.

   Als u bijvoorbeeld de toegang tot een Key Vault-resource in de globale Azure-cloud wilt verifiëren, moet u de eigenschap Doelgroep instellen op precies de volgende resource-id : https://vault.azure.net

   Als u de eigenschap Doelgroep niet instelt, gebruikt de eigenschap Doelgroep standaard de https://management.azure.com/ resource-id. Dit is de resource-id voor Azure Resource Manager.

   Belangrijk

   Zorg ervoor dat de doelresource-id exact overeenkomt met de waarde die Microsoft Entra ID verwacht. Anders krijgt u mogelijk een 400 Bad Request fout of een 401 Unauthorized fout. Als de resource-ID afsluitende slashes bevat, moet u deze dus opnemen. Neem ze anders niet op.

   Voor de resource-id voor alle Azure Blob Storage-accounts is bijvoorbeeld een afsluitende slash vereist. Voor de resource-id voor een specifiek opslagaccount is echter geen afsluitende slash vereist. Controleer de resource-id's voor de Azure-services die Ondersteuning bieden voor Microsoft Entra-id.

   In dit voorbeeld wordt de eigenschap Audience ingesteld op https://storage.azure.com/, zodat de toegangstokens die worden gebruikt voor authenticatie geldig zijn voor alle opslagaccounts. U kunt echter ook de URL van de hoofdservice opgeven voor https://<your-storage-account>.blob.core.windows.neteen specifiek opslagaccount.

   

   Zie de volgende documentatie voor meer informatie over het autoriseren van toegang met Microsoft Entra ID voor Azure Storage:

   • Toegang tot Azure-blobs en wachtrijen autoriseren met behulp van Microsoft Entra-id

   • Toegang tot Azure Storage autoriseren met OAuth

6. Ga door met het bouwen van de werkstroom zoals u wilt.

1. Voeg in de werkstroomontwerper een gewenste trigger toe en voeg vervolgens de HTTP-actie toe.

   In het volgende voorbeeld ziet u een HTTP-voorbeeldactie met alle eerder beschreven eigenschapswaarden die moeten worden gebruikt voor de momentopnameblobbewerking:

   

2. Voeg in de HTTP-actie de verificatie-eigenschap toe. Selecteer Verificatie in de lijst Geavanceerde parameters.

   

   De sectie Verificatie wordt nu weergegeven in uw HTTP-actie .

   Opmerking

   Niet alle triggers en acties ondersteunen het toevoegen van een verificatietype. Zie Verificatietypen voor triggers en acties die ondersteuning bieden voor verificatie voor meer informatie.

3. Selecteer Beheerde identiteit in de lijst Verificatietype.

   

4. Selecteer in de lijst beheerde identiteit de beschikbare opties op basis van uw scenario.

   • Als u de door het systeem toegewezen identiteit instelt, selecteert u Door het systeem toegewezen beheerde identiteit.

     

   • Als u een door de gebruiker toegewezen identiteit instelt, selecteert u die identiteit.

     

   In dit voorbeeld wordt de door het systeem toegewezen beheerde identiteit voortgezet.

5. Bij sommige triggers en acties wordt de eigenschap Doelgroep weergegeven, zodat u de resource-id voor de Azure-doelresource of -service kunt instellen.

   Als u bijvoorbeeld de toegang tot een Key Vault-resource in de globale Azure-cloud wilt verifiëren, moet u de eigenschap Doelgroep instellen op precies de volgende resource-id : https://vault.azure.net

   Als u de eigenschap Doelgroep niet instelt, gebruikt de eigenschap Doelgroep standaard de https://management.azure.com/ resource-id. Dit is de resource-id voor Azure Resource Manager.

   Belangrijk

   Zorg ervoor dat de doelresource-id exact overeenkomt met de waarde die Microsoft Entra ID verwacht. Anders krijgt u mogelijk een 400 Bad Request fout of een 401 Unauthorized fout. Als de resource-ID afsluitende slashes bevat, moet u deze dus opnemen. Neem ze anders niet op.

   Voor de resource-id voor alle Azure Blob Storage-accounts is bijvoorbeeld een afsluitende slash vereist. Voor de resource-id voor een specifiek opslagaccount is echter geen afsluitende slash vereist. Controleer de resource-id's voor de Azure-services die Ondersteuning bieden voor Microsoft Entra-id.

   In dit voorbeeld wordt de eigenschap Audience ingesteld op https://storage.azure.com/, zodat de toegangstokens die worden gebruikt voor authenticatie geldig zijn voor alle opslagaccounts. U kunt echter ook de URL van de hoofdservice opgeven voor https://<your-storage-account>.blob.core.windows.neteen specifiek opslagaccount.

   

   Zie de volgende documentatie voor meer informatie over het autoriseren van toegang met Microsoft Entra ID voor Azure Storage:

   • Toegang tot Azure-blobs en wachtrijen autoriseren met behulp van Microsoft Entra-id

   • Toegang tot Azure Storage autoriseren met OAuth

6. Ga door met het bouwen van de werkstroom zoals u wilt.

1. Voeg in de werkstroomontwerper de Actie Azure Resource Manager met de naam Een resource lezen toe.

2. Selecteer in het deelvenster Verbinding maken in de lijst Verificatie de optie Beheerde identiteit en selecteer vervolgens Aanmelden.

   Opmerking

   In andere connectors wordt in de lijst Verificatietype de beheerde identiteit van Logic Apps weergegeven. Selecteer daarom deze optie.

   Schermopname toont de werkstroom voor Verbruik, de Azure Resource Manager-actie, de geopende lijst met verificaties, en de geselecteerde optie voor beheerde identiteit.

3. Geef een naam op voor de verbinding en selecteer de beheerde identiteit die u wilt gebruiken.

   Als u de door het systeem toegewezen identiteit hebt ingeschakeld, selecteert de lijst met beheerde identiteiten automatisch door het systeem toegewezen beheerde identiteit. Als u in plaats daarvan een door de gebruiker toegewezen identiteit hebt ingeschakeld, selecteert de lijst automatisch de door de gebruiker toegewezen identiteit.

   In dit voorbeeld is door het systeem toegewezen beheerde identiteit de enige beschikbare selectie.

   

   Opmerking

   Als de beheerde identiteit niet is ingeschakeld wanneer u de verbinding probeert te maken of wijzigen, of als de beheerde identiteit is verwijderd terwijl er nog steeds een verbinding met een beheerde identiteit bestaat, krijgt u een foutbericht met de mededeling dat u de identiteit moet inschakelen en toegang moet verlenen tot de doelresource.

4. Wanneer u klaar bent, selecteert u Nieuwe maken.

5. Nadat de ontwerper de verbinding heeft gemaakt, kan de ontwerper dynamische waarden, inhoud of schema ophalen met behulp van verificatie van beheerde identiteiten.

6. Ga door met het bouwen van de werkstroom zoals u wilt.

1. Voeg in de werkstroomontwerper de Actie Azure Resource Manager met de naam Een resource lezen toe.

2. Selecteer in het deelvenster Verbinding maken in de lijst Verificatie de optie Beheerde identiteit en selecteer vervolgens Aanmelden.

   Opmerking

   In andere connectors wordt in de lijst Verificatietype de beheerde identiteit van Logic Apps weergegeven. Selecteer daarom deze optie.

   

3. Geef een naam op voor de verbinding en selecteer de beheerde identiteit die u wilt gebruiken.

   Standaard hebben resources voor de Standard logic app automatisch de door het systeem toegewezen identiteit ingeschakeld. De lijst met beheerde identiteiten selecteert dus automatisch door het systeem toegewezen beheerde identiteit. Als u ook een of meer door de gebruiker toegewezen identiteiten hebt ingeschakeld, worden in de lijst met beheerde identiteiten alle momenteel ingeschakelde beheerde identiteiten weergegeven, bijvoorbeeld:

   

   Opmerking

   Als de beheerde identiteit niet is ingeschakeld wanneer u de verbinding probeert te maken of wijzigen, of als de beheerde identiteit is verwijderd terwijl er nog steeds een verbinding met een beheerde identiteit bestaat, krijgt u een foutbericht met de mededeling dat u de identiteit moet inschakelen en toegang moet verlenen tot de doelresource.

4. Wanneer u klaar bent, selecteert u Nieuwe maken.

5. Nadat de ontwerper de verbinding heeft gemaakt, kan de ontwerper dynamische waarden, inhoud of schema ophalen met behulp van verificatie van beheerde identiteiten.

6. Ga door met het bouwen van de werkstroom zoals u wilt.

In een logische app-resource voor Verbruik wordt de verbindingsconfiguratie opgeslagen in het parameters-object van de resourcedefinitie, dat het $connections-object bevat met verwijzingen naar de resource-id van de verbinding en de resource-id van de beheerde identiteit wanneer de door de gebruiker toegewezen identiteit is ingeschakeld.

In dit voorbeeld ziet u de parameters objectconfiguratie wanneer de logische app de door het systeem toegewezen identiteit inschakelt:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

In dit voorbeeld ziet u de parameters objectconfiguratie wanneer de logische app de door de gebruiker toegewezen beheerde identiteit inschakelt:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

In een standaardresource voor logische apps wordt de verbindingsconfiguratie opgeslagen in de resource van de logische app of het projectbestand connections.json , dat een managedApiConnections object bevat dat verbindingsconfiguratiegegevens bevat voor elke beheerde connector die in een werkstroom wordt gebruikt. Deze verbindingsgegevens bevatten aanwijzers naar de resource-id van de verbinding, samen met de eigenschappen van de beheerde identiteit, zoals de resource-id wanneer de door de gebruiker toegewezen identiteit is ingeschakeld.

In dit voorbeeld ziet u de managedApiConnections objectconfiguratie wanneer de logische app de door het systeem toegewezen identiteit inschakelt:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

In dit voorbeeld ziet u de managedApiConnections objectconfiguratie wanneer de logische app de door de gebruiker toegewezen identiteit inschakelt:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

De volgende voorbeelden zijn van toepassing op consumptie-logische app-resources en laten zien hoe de definitie van de onderliggende connectorresource verschilt tussen een connector met één authenticatie en een connector met meerdere authenticaties.

Eénvoudige authenticatie

In dit voorbeeld ziet u de onderliggende verbindingsresourcedefinitie voor een connectoractie die slechts één verificatietype ondersteunt en een beheerde identiteit gebruikt in een werkstroom voor logische verbruiks-apps, waarbij de definitie de volgende kenmerken bevat:

• De kind eigenschap is ingesteld op V1 voor een consumptie logische app.

• De eigenschap parameterValueType is ingesteld op Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Multi-authentication

In dit voorbeeld ziet u de onderliggende verbindingsresourcedefinitie voor een connectoractie die ondersteuning biedt voor meerdere verificatietypen en een beheerde identiteit gebruikt in een werkstroom voor logische verbruiks-apps, waarbij de definitie de volgende kenmerken bevat:

• De eigenschap kind is ingesteld op V1 voor een Verbruik logische app.

• Het parameterValueSet object bevat een name eigenschap die is ingesteld op managedIdentityAuth en een values eigenschap die is ingesteld op een leeg object.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

De volgende voorbeelden zijn van toepassing op Standard Logic App-resources en laten zien hoe de definitie van de onderliggende connectorresource verschilt tussen een single-authenticatieconnector en een multi-authenticatieconnector.

Enkelvoudige authenticatie

In dit voorbeeld ziet u de onderliggende verbindingsresourcedefinitie voor een connectoractie die slechts één verificatietype ondersteunt en een beheerde identiteit gebruikt in een standaardwerkstroom voor logische apps, waarbij de definitie de volgende kenmerken bevat:

• De kind eigenschap is ingesteld op V2 voor een standaard Logic App.

• De eigenschap parameterValueType is ingesteld op Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Meervoudige authenticatie

In dit voorbeeld ziet u de onderliggende verbindingsresourcedefinitie voor een connectoractie die ondersteuning biedt voor meerdere verificatietypen en een beheerde identiteit gebruikt in een standaardwerkstroom voor logische apps, waarbij de definitie de volgende kenmerken bevat:

• De kind eigenschap is ingesteld op V2 voor een standaard logische app.

• Het parameterValueSet object bevat een name eigenschap die is ingesteld op managedIdentityAuth en een values eigenschap die is ingesteld op een leeg object.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Zorg ervoor dat u in de volgende resourcedefinitie Microsoft.Web/connections een toegangsbeleid toevoegt dat een resourcedefinitie voor elke API-verbinding opgeeft en geef de volgende informatie op:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Zie Microsoft.Web/connections/accesspolicies (ARM-sjabloon) voor meer informatie.