Adicionar autenticação do Microsoft Entra para chamar APIs personalizadas dos Aplicativos Lógicos do Azure

Aplica-se a: Aplicativos Lógicos do Azure (Consumo)

Para aprimorar a segurança para chamadas às suas APIs, você pode configurar a autenticação do Microsoft Entra no portal do Azure para que não precise atualizar seu código. Ou você pode exigir e aplicar a autenticação por meio do seu código da API.

Você pode adicionar a autenticação das seguintes maneiras:

• Sem alterações de código: proteja sua API com o Microsoft Entra ID por meio do Portal do Azure, para que você não precise atualizar o código ou reimplantar sua API.

  Observação

  Por padrão, a autenticação do Microsoft Entra que você seleciona no Portal do Azure não fornece autorizações refinadas. Por exemplo, essa autenticação bloqueia sua API para apenas um locatário específico, não para um usuário ou aplicativo específico.

• Atualize o código da API: proteja sua API impondo a autenticação de certificado ou a autenticação do Microsoft Entra por meio do código.

Autenticar chamadas para a API sem alterar o código

Eis as etapas gerais para este método:

1. Crie duas identidades de aplicativo do Microsoft Entra (registro de aplicativo): uma para o recurso de aplicativo lógico e outra para seu aplicativo Web (ou aplicativo de API).

2. Para autenticar chamadas à sua API, use as credenciais (ID do cliente e segredo) da entidade de serviço associada à identidade de aplicativo Microsoft Entra para o seu Logic App.

3. Inclua as IDs de aplicativo na definição do fluxo de trabalho do aplicativo lógico.

Parte 1: Criar uma identidade de aplicativo do Microsoft Entra para seu aplicativo de lógica

Seu recurso de aplicativo lógico usa essa identidade de aplicativo do Microsoft Entra para se autenticar no Microsoft Entra ID. Você só precisa configurar essa identidade uma vez para seu locatário. Por exemplo, você pode optar por usar a mesma identidade para todos os seus aplicativos lógicos, embora possa criar identidades exclusivas para cada aplicativo lógico. É possível configurar essas identidades no Portal do Azure ou usar o PowerShell.

Parte 2: Criar uma identidade do aplicativo do Microsoft Entra para seu aplicativo Web ou aplicativo de API

Se seu aplicativo Web ou aplicativo de API já estiver implantado, você poderá ativar a autenticação e criar a identidade do aplicativo no Portal do Azure. Caso contrário, você pode ativar a autenticação quando implantar com um modelo do Azure Resource Manager.

Criar a identidade do aplicativo para um aplicativo Web implantado ou aplicativo de API no portal do Azure

1. No portal do Azure, localize e selecione o aplicativo Web ou aplicativo de API.

2. Em Configurações, selecione Autenticação>Adicionar provedor de identidade.

3. Depois que o painel Adicionar um provedor de identidade for aberto, na guia Noções básicas, na lista de Provedores de identidade, selecione a Microsoft para usar identidades do Microsoft Entra e selecione Adicionar.

4. Agora crie uma identidade do aplicativo para seu aplicativo Web ou aplicativo de API conforme mostrado aqui:

   1. Em Tipo de registro do aplicativo, selecione Criar novo registro de aplicativo.

   2. Para Nome, forneça um nome para a identidade do aplicativo.

   3. Para tipos de conta com suporte, selecione os tipos de conta apropriados para seu cenário.

   4. Para restringir o acesso, selecione Exigir autenticação.

   5. Para solicitações não autenticadas, selecione a opção com base em seu cenário.

   6. Quando terminar, selecione Adicionar.

   Na seção Provedor de identidade , a nova identidade de aplicativo para seu aplicativo Web ou aplicativo de API agora aparece:

   

   Dica

   Se essa identidade do aplicativo não aparecer, na barra de ferramentas, selecione Atualizar.

Agora você deve encontrar a ID do aplicativo (cliente) e a ID do locatário para a identidade do aplicativo que você acabou de criar para seu aplicativo web ou aplicativo de API. Você usará essas IDs na Parte 3. Portanto, continue com essas etapas para o Portal do Azure.

Encontre o ID do cliente e o ID do locatário da identidade do seu aplicativo Web ou aplicativo de API no Portal do Azure

1. No menu do aplicativo Web, em Gerenciar, selecione Autenticação.

2. Na seção Provedor de identidade , localize sua identidade de aplicativo criada anteriormente. Selecione o nome da identidade do aplicativo.

   

3. Na página Visão geral, localize os valores da ID do aplicativo (cliente) e da ID do diretório (locatário). Copie e salve os valores para uso na Parte 3.

   

   Você também pode usar o GUID de ID do locatário no modelo de implantação do seu aplicativo web ou aplicativo API, se necessário. Esse GUID é do seu locatário específico ("ID de locatário") e deve aparecer nesta URL: https://sts.windows.net/<tenant-GUID>

Configure a autenticação ao implantar com um modelo do Gerenciador de Recursos do Azure

Se você estiver usando um modelo do Azure Resource Manager (modelo do ARM), ainda é necessário criar uma identidade de aplicativo do Microsoft Entra para seu aplicativo web ou aplicativo de API, que difere da identidade do aplicativo para seu aplicativo lógico. Para criar a identidade do aplicativo e encontrar a ID do cliente e a ID do locatário, siga as etapas anteriores na Parte 2 para o portal do Azure. Você precisará usar tanto o ID do cliente quanto o ID do locatário no modelo de implantação do seu aplicativo e também na Parte 3.

Depois que você obtiver a ID do cliente e a ID do locatário, inclua essas IDs como um recurso secundário do seu aplicativo Web ou aplicativo de API no seu modelo de implantação:

"resources": [
   {
      "apiVersion": "2015-08-01",
      "name": "web",
      "type": "config",
      "dependsOn": ["[concat('Microsoft.Web/sites/','parameters('webAppName'))]"],
      "properties": {
         "siteAuthEnabled": true,
         "siteAuthSettings": {
            "clientId": "<client-ID>",
            "issuer": "https://sts.windows.net/<tenant-ID>/"
         }
      }
   }
]

Para implantar automaticamente um aplicativo Web em branco e um aplicativo lógico com a autenticação do Microsoft Entra, exiba o modelo completo aqui ou clique no botão Implantar no Azure:

Parte 3: Preencher a seção Autorização no aplicativo lógico

O modelo anterior já tem essa seção de autorização definida, mas se você estiver criando a definição de aplicativo lógico diretamente, precisará incluir a seção de autorização completa.

1. Abra sua definição de aplicativo lógico na exibição de código.

2. Vá para a definição de ação HTTP, localize a seção Autorização e inclua as seguintes propriedades:

{
   "tenant": "<tenant-ID>",
   "audience": "<client-ID-from-Part-2-web-app-or-API app>",
   "clientId": "<client-ID-from-Part-1-logic-app>",
   "secret": "<secret-from-Part-1-logic-app>",
   "type": "ActiveDirectoryOAuth"
}

Por exemplo:

{
   "actions": {
      "HTTP": {
         "inputs": {
            "method": "POST",
            "uri": "https://your-api-azurewebsites.net/api/your-method",
            "authentication": {
               "tenant": "tenant-ID",
               "audience": "client-ID-from-azure-ad-app-for-web-app-or-api-app",
               "clientId": "client-ID-from-azure-ad-app-for-logic-app",
               "secret": "key-from-azure-ad-app-for-logic-app",
               "type": "ActiveDirectoryOAuth"
            }
         }
      }
   }
}

Proteger chamadas à API por meio de código

Autenticação de certificado

Para validar as solicitações recebidas do fluxo de trabalho do seu aplicativo lógica para o aplicativo Web ou aplicativo de API, você pode usar certificados de cliente. Para configurar seu código, aprenda a configurar a autenticação mútua TLS.

Na seção Autorização, inclua estas propriedades:

{
   "type": "ClientCertificate",
   "password": "<password>",
   "pfx": "<long-pfx-key>"
}

autenticação Básica

Para validar solicitações de entrada de seu aplicativo lógico para o aplicativo Web ou aplicativo de API, você pode usar a autenticação básica, como um nome de usuário e senha. Embora a autenticação básica seja um padrão comum e você possa usar essa autenticação em qualquer idioma usado para criar seu aplicativo Web ou aplicativo de API, sempre use o melhor nível de autenticação disponível ou com suporte.

Na seção Autorização, inclua estas propriedades:

{
   "type": "Basic",
   "username": "<username>",
   "password": "<password>"
}

Autenticação do Microsoft Entra usando código

Por padrão, a autenticação do Microsoft Entra que você ativa no portal do Azure não fornece autorizações refinadas. Por exemplo, essa autenticação bloqueia sua API para apenas um locatário específico, não para um usuário ou aplicativo específico.

Para restringir o acesso à sua API no Aplicativo Lógico através do código, extraia o cabeçalho que contém o JWT (JSON Web Token). Verifique a identidade do chamador e rejeite as solicitações que não correspondem.

Próximas etapas

• Implantar e chamar APIs personalizadas a partir dos fluxos de trabalho do Logic App