Ověřování přístupu k prostředkům Azure pomocí spravovaných identit v Azure Logic Apps

Některé triggery aakce v pracovních postupech aplikací logiky podporují ověřování připojení k prostředkům chráněným službou Azure Active Directory (Azure AD) pomocí spravované identity, dříve označované jako identita spravované služby (MSI). Pokud má prostředek aplikace logiky povolenou spravovanou identitu, nemusíte za poskytovat přihlašovací údaje, tajné kódy ani tokeny Azure AD. Azure tuto identitu spravuje a pomáhá zabezpečit ověřovací informace, protože tyto citlivé informace nemusíte spravovat.

Azure Logic Apps podporuje spravovanou identitu přiřazenou systémem,kterou můžete použít pouze s jedním zdrojem aplikace logiky, a spravovanou identitu přiřazenou uživatelem,kterou můžete sdílet napříč skupinou prostředků aplikace logiky podle toho, kde se spustí pracovní postupy vaší aplikace logiky.

Další informace o omezeních spravované identity v Azure Logic Apps najdete v části Omezení spravovaných identit pro aplikace logiky. Další informace o typech prostředků a prostředích aplikací logiky Consumption a Standard najdete v následující dokumentaci:

• Co je Azure Logic Apps?
• Porovnání prostředí s jedním tenantem a prostředím integrační služby
• Azure Arc povolené Logic Apps

Kde můžete použít spravovanou identitu

Spravovanou identitu mohou k ověřování používat jenom konkrétní operace integrovaného a spravovaného konektoru, které podporují otevřené ověřování Azure AD (Azure AD OAuth). Následující tabulka obsahuje pouze ukázkový výběr. Úplnější seznam najdete v typech ověřování u triggerů a akcí, které podporují ověřování, a služeb Azure, které podporují ověřování Azure AD pomocí spravovaných identit.

Tento článek ukazuje, jak povolit a nastavit identitu přiřazenou systémem nebo identitu přiřazenou uživatelem podle toho, jestli používáte typ prostředku Aplikace logiky (Consumption) nebo Aplikace logiky (Standard). Na rozdíl od identity přiřazené systémem, kterou nemusíte vytvářet ručně, musíte ručně vytvořit identitu přiřazenou uživatelem pro typ prostředku Aplikace logiky (Consumption). Tento článek obsahuje postup vytvoření identity přiřazené uživatelem pomocí šablony Azure Portal a Azure Resource Manager (šablona ARM). Informace Azure PowerShell, Azure CLI a Azure REST API najdete v následující dokumentaci:

Požadavky

• Účet a předplatné Azure. Pokud předplatné nemáte, zaregistrujte si bezplatný účet Azure. Spravovaná identita i cílový prostředek Azure, ke které potřebujete přístup, musí používat stejné předplatné Azure.

• Pokud chcete spravované identitě poskytnout přístup k prostředku Azure, musíte k cílovému prostředku této identity přidat roli. Pokud chcete přidat role, potřebujete oprávnění správce Azure AD, která mohou přiřazovat role identitám v odpovídajícím tenantovi Azure AD.

• Cílový prostředek Azure, ke který chcete získat přístup. V tomto prostředku přidáte roli pro spravovanou identitu, která pomůže prostředku aplikace logiky nebo připojení ověřovat přístup k cílovému prostředku.

• Prostředek aplikace logiky, ve kterém chcete použít trigger nebo akce, které podporují spravované identity.

  Typ prostředku aplikace logiky	Podpora spravované identity
  Využití	Identita přiřazená systémem nebo přiřazená uživatelem
  Standard	Identita přiřazená systémem (automaticky povolená)

Povolení identity přiřazené systémem v Azure Portal

Povolení identity přiřazené systémem v šabloně ARM

K automatizaci vytváření a nasazování prostředků Azure, jako jsou aplikace logiky, můžete použít šablonu ARM. Pokud chcete v šabloně povolit spravovanou identitu přiřazenou systémem pro prostředek aplikace logiky, přidejte objekt a vlastnost child do definice prostředku aplikace logiky identity type v šabloně, například:

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

Když Azure vytvoří definici prostředku aplikace logiky, identity získá objekt tyto další vlastnosti:

"identity": {
   "type": "SystemAssigned",
   "principalId": "<principal-ID>",
   "tenantId": "<Azure-AD-tenant-ID>"
}

Vytvoření identity přiřazené uživatelem v Azure Portal (pouze Consumption)

Před povolením identity přiřazené uživatelem v prostředku aplikace logiky (Consumption) musíte tuto identitu nejprve vytvořit jako samostatný prostředek Azure.

1. Do vyhledávacího Azure Portal zadejte managed identities . Vyberte Spravované identity.

   

2. V podokně Spravované identity vyberte Vytvořit.

   

3. Zadejte informace o spravované identitě a pak vyberte Zkontrolovat a vytvořit, například:

   

   Vlastnost	Požaduje se	Hodnota	Popis
   Předplatné	Yes	<Název předplatného Azure>	Název předplatného Azure, které se má použít
   Skupina prostředků	Yes	<Azure-resource-group-name>	Název skupiny prostředků Azure, která se má použít. Vytvořte novou skupinu nebo vyberte existující skupinu. Tento příklad vytvoří novou skupinu s názvem fabrikam-managed-identities-RG .
   Oblast	Yes	<Oblast Azure>	Oblast Azure, do které se ukládají informace o vašem prostředku. Tento příklad používá USA – západ.
   Název	Yes	<user-assigned-identity-name>	Název pro vaši identitu přiřazenou uživatelem. Tento příklad používá Fabrikam-user-assigned-identity.

   Po ověření informací Azure vytvoří spravovanou identitu. Teď můžete do prostředku aplikace logiky přidat identitu přiřazenou uživatelem, která může mít pouze jednu identitu přiřazenou uživatelem.

4. V Azure Portal otevřete prostředek aplikace logiky.

5. V nabídce aplikace logiky v části Nastavení vyberte Identita.

6. V podokně Identita vyberte Přiřazený uživatelem > Přidat.

   

7. V podokně Přidat spravovanou identitu přiřazenou uživatelem postupujte takto:

   1. V seznamu Předplatné vyberte své předplatné Azure, pokud ještě není vybrané.

   2. V seznamu se všemi spravovanými identitami v tomto předplatném vyberte požadovanou identitu přiřazenou uživatelem. Pokud chcete seznam filtrovat, zadejte do vyhledávacího pole Spravované identity přiřazené uživatelem název identity nebo skupiny prostředků.

      

   3. Až budete hotovi, vyberte Přidat.

      Poznámka

      Pokud se zobrazí chyba, že můžete mít jenom jednu spravovanou identitu, vaše aplikace logiky je už přidružená k identitě přiřazené systémem. Před přidáním identity přiřazené uživatelem musíte nejprve zakázat identitu přiřazenou systémem.

   Vaše aplikace logiky je teď přidružená ke spravované identitě přiřazené uživatelem.

   

8. Teď postupujte podle kroků, které této identitě umožní přístup k prostředku dále v tomto tématu.

Vytvoření identity přiřazené uživatelem v šabloně ARM (jenom Consumption)

K automatizaci vytváření a nasazování prostředků Azure, jako jsou aplikace logiky, můžete použít šablonu ARM,která podporuje ověřování identit přiřazených uživatelem. V oddílu šablony definice prostředku aplikace logiky vyžaduje resources tyto položky:

• Objekt identity s type vlastností nastavenou na UserAssigned

• Podřízený userAssignedIdentities objekt, který určuje prostředek a název přiřazený uživatelem

Tento příklad ukazuje definici prostředku aplikace logiky pro požadavek HTTP PUT a zahrnuje neparametrizovaný identity objekt. Odpověď na požadavek PUT a následná operace GET mají také tento identity objekt:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Pokud šablona obsahuje také definici prostředku spravované identity, můžete parametrizovat identity objekt . Tento příklad ukazuje, jak podřízený userAssignedIdentities objekt odkazuje na userAssignedIdentity proměnnou, kterou definujete v oddílu variables šablony. Tato proměnná odkazuje na ID prostředku pro vaši identitu přiřazenou uživatelem.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Poskytnout identitě přístup k prostředkům

Než budete moci použít spravovanou identitu vaší aplikace logiky k ověřování, musíte v prostředku Azure, kde chcete identitu použít, nastavit přístup ke své identitě pomocí řízení přístupu na základě role v Azure (Azure RBAC). Kroky v této části popisují, jak této identitě přiřadit odpovídající roli k prostředku Azure pomocí šablony Azure Portal a Azure Resource Manager (šablona ARM). Informace Azure PowerShell, Azure CLI a Azure REST API najdete v následující dokumentaci:

Přiřazení přístupu na základě role spravované identity v Azure Portal

V prostředku Azure, kde chcete použít spravovanou identitu pro ověřování, musíte tuto identitu přiřadit k roli, která má přístup k cílovému prostředku. Další obecné informace o této úkolu najdete v přehledu přiřazení přístupu spravované identity k jinému prostředku pomocí Azure RBAC.

1. V Azure Portalotevřete prostředek, ve kterém chcete identitu použít.

2. V nabídce prostředku vyberte Řízení přístupu (IAM) > Přidat Přidat přiřazení > role.

   Poznámka

   Pokud je možnost Přidat přiřazení role zakázaná, nemáte oprávnění k přiřazení rolí. Další informace najdete v předdefinované roli Azure AD.

3. Teď spravované identitě přiřaďte potřebnou roli. Na kartě Role přiřaďte roli, která vaší identitě poskytne požadovaný přístup k aktuálnímu prostředku.

   V tomto příkladu přiřaďte roli s názvem přispěvatel dat Storage objektů blob, která zahrnuje oprávnění k zápisu pro objekty blob v kontejneru Azure Storage objektů blob. Další informace o konkrétních rolích kontejnerů úložiště najdete v části Role, které mají přístup k objektům blob v Azure Storage kontejneru.

4. Dále vyberte spravovanou identitu, ke které chcete roli přiřadit. V části Přiřadit přístup k vyberte Spravovaná > identita Přidat členy.

5. Na základě typu spravované identity vyberte nebo zadejte následující hodnoty:

   Typ	Instance služby Azure	Předplatné	Člen
   Přiřazený systémem	Aplikace logiky	<Název předplatného Azure>	<your-logic-app-name>
   Přiřazený uživatelem (jenom Consumption)	Neuvedeno	<Název předplatného Azure>	<your-user-assigned-identity-name>

   Další informace o přiřazování rolí najdete v dokumentaci k přiřazení rolí pomocí Azure Portal.

6. Po dokončení nastavení přístupu pro identitu pak můžete pomocí identity ověřit přístup k aktivačním událostem a akcím, které podporují spravované identity.

Ověřování přístupu pomocí spravované identity

Jakmile pro prostředek aplikace logiky povolíte spravovanou identitu a dáte této identitě přístup k cílovému prostředku nebo entitě, můžete tuto identitu použít v triggerech a akcích, které podporují spravované identity.

Tyto kroky ukazují, jak používat spravovanou identitu s triggerem nebo akcí prostřednictvím Azure Portal. Pokud chcete zadat spravovanou identitu v podkladové definici JSON triggeru nebo akce, prohlédněte si ověřování spravované identity.

Příklad: ověření integrované aktivační události nebo akce se spravovanou identitou

Integrovaná aktivační událost HTTP nebo akce může používat identitu přiřazenou systémem, kterou jste povolili v prostředku aplikace logiky. V obecném případě Trigger nebo Action protokolu HTTP pomocí následujících vlastností určí prostředek nebo entitu, ke kterým chcete získat přístup:

jako konkrétní příklad předpokládejme, že chcete spustit operaci Snapshot Blob u objektu blob v účtu Azure Storage, kde jste předtím nastavili přístup k vaší identitě. ale konektor Azure Blob Storage v současnosti tuto operaci nenabízí. Místo toho můžete tuto operaci spustit pomocí akce http nebo jiné operace REST API služby BLOB Service.

Pokud chcete spustit operaci objektu BLOB snímku, akce http určuje tyto vlastnosti:

Příklad: ověření triggeru nebo akce spravovaného konektoru pomocí spravované identity

Spravovaný konektor Azure Resource Manager má akci, Přečtěte si prostředek, který může používat spravovanou identitu, kterou jste povolili v prostředku aplikace logiky. Tento příklad ukazuje, jak používat spravovanou identitu přiřazenou systémem.

Definice a připojení prostředků aplikace logiky, které používají spravovanou identitu (spotřeba)

Připojení, které povoluje a používá spravovanou identitu, je speciální typ připojení, který funguje jenom se spravovanou identitou. V době běhu připojení používá spravovanou identitu, která je povolená na prostředku Logic App. v době běhu služba Azure Logic Apps kontroluje, jestli se kterákoli z triggerů a akcí spravovaného konektoru v pracovním postupu aplikace logiky nastavila tak, aby používala spravovanou identitu a jestli jsou všechna požadovaná oprávnění nastavená tak, aby používala spravovanou identitu pro přístup k cílovým prostředkům, které jsou určené triggerem a akcemi. v případě úspěchu Azure Logic Apps načte token Azure AD, který je přidružený ke spravované identitě, a používá tuto identitu k ověření přístupu k cílovému prostředku a provedení nakonfigurované operace v aktivační události a akcích.

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/{connection-name}",
            "connectionName": "{connection-name}",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{Azure-region}/managedApis/{managed-connector-type}"
         }
      }
   }
}

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/{connection-name}",
            "connectionName": "{connection-name}",
            "connectionProperties": {
               "authentication": {
                  "identity": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resourceGroupName}/providers/microsoft.managedidentity/userassignedidentities/{managed-identity-name}",
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{Azure-region}/managedApis/{managed-connector-type}"
         }
      }
   }
}

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{region}/managedApis/<connector-name>"
            },
            "connection": {
                "id": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/<connection-name>"
            },
            "connectionRuntimeUrl": <connection-URL>,
            "authentication": { // Authentication with APIHub
                "type": "ManagedServiceIdentity"
            },
            "connectionProperties": {
                "authentication": { //Authentication with the target resource
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>", // Optional
                    "audience": "<resource-URL>"
                }
            }
        }
    }
}

Šablona ARM pro spravovaná připojení a spravované identity (spotřeba)

Pokud automatizujete nasazení pomocí šablony ARM a pracovní postup aplikace logiky obsahuje aktivační událost spravovaného konektoru nebo akci, která používá spravovanou identitu, zkontrolujte, že definice prostředku základní připojení obsahuje parameterValueType vlastnost s Alternative hodnotou vlastnosti. V opačném případě vaše nasazení ARM nenastaví připojení pro použití spravované identity pro ověřování a připojení nebude v pracovním postupu vaší aplikace logiky fungovat. tento požadavek platí jenom pro konkrétní triggery spravovaného konektoru a akce , ve kterých jste vybrali možnost Připojení s spravovanou identitou.

Tady je například definice prostředku základní připojení pro akci Azure Automation, která používá spravovanou identitu, kde definice zahrnuje parameterValueType vlastnost, která je nastavená na Alternative hodnotu vlastnosti:

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('automationAccountApiConnectionName')]",
    "apiVersion": "2016-06-01",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "customParameterValues": {},
        "displayName": "[variables('automationAccountApiConnectionName')]",
        "parameterValueType": "Alternative"
    }
},

Zakázat spravovanou identitu

Chcete-li ukončit používání spravované identity pro ověřování, nejprve odeberte přístup identity k cílovému prostředku. Potom v prostředku aplikace logiky vypněte identitu přiřazenou systémem nebo odeberte identitu přiřazenou uživatelem.

Když zakážete spravovanou identitu na prostředku aplikace logiky, odeberete možnost této identity pro vyžádání přístupu k prostředkům Azure, kde má identita přístup.

Kroky v této části se týkají použití šablony Azure Portal a Azure Resource Manager (šablona ARM). Azure PowerShell, azure CLI a azure REST API, přečtěte si následující dokumentaci:

Zakázat spravovanou identitu v Azure Portal

Pokud chcete odebrat přístup pro spravovanou identitu, odeberte přiřazení role identity z cílového prostředku a pak zakažte spravovanou identitu.

Odebrat přiřazení role

Následující kroky odeberou přístup k cílovému zdroji ze spravované identity:

1. V Azure Portalpřejděte do cílového prostředku Azure, ve kterém chcete odebrat přístup pro spravovanou identitu.

2. V nabídce cílového prostředku vyberte řízení přístupu (IAM). Na panelu nástrojů vyberte přiřazení rolí.

3. V seznamu role vyberte spravované identity, které chcete odebrat. Na panelu nástrojů vyberte Odebrat.

   Tip

   Pokud je možnost Odebrat zakázaná, pravděpodobně nemáte oprávnění. Další informace o oprávněních, která umožňují spravovat role pro prostředky, najdete v části oprávnění role správce v Azure Active Directory.

Zakázat spravovanou identitu pro prostředek aplikace logiky

1. V Azure Portalotevřete prostředek aplikace logiky.

2. V navigační nabídce aplikace logiky v Nastavení vyberte Identita a pak postupujte podle pokynů pro vaši identitu:

   • Při uložení vyberte > Přiřazený > systém. Když vás Azure vyzve k potvrzení, vyberte Ano.

   • Vyberte Přiřazený uživatelem a spravovaná identita a pak vyberte Odebrat. Když vás Azure vyzve k potvrzení, vyberte Ano.

Zakázání spravované identity v šabloně ARM

Pokud jste vytvořili spravovanou identitu aplikace logiky pomocí šablony ARM, nastavte vlastnost podřízeného identity type objektu na None .

"identity": {
   "type": "None"
}

Další kroky

• Zabezpečený přístup a data v Azure Logic Apps