Autentisera åtkomst till Azure-resurser med hanterade identiteter i Azure Logic Apps

Vissa utlösare och åtgärder i logikapparbetsflöden stöder användning av en hanterad identitet ,som tidigare kallades hanterad tjänstidentitet (MSI), för att autentisera anslutningar till resurser som skyddas av Azure Active Directory (Azure AD). När logikappresursen har en hanterad identitet aktiverad behöver du inte ange autentiseringsuppgifter, hemligheter eller Azure AD-token. Azure hanterar den här identiteten och hjälper till att skydda autentiseringsinformation eftersom du inte behöver hantera den här känsliga informationen.

Azure Logic Apps stöder den systemtilldelningadehanterade identiteten , som du kan använda med endast en logikappresurs och den användar tilldelade hanterade identiteten ,som du kan dela mellan en grupp logikappresurser, baserat på var logikappens arbetsflöden körs.

Mer information om begränsningar för hanterade identiteter Azure Logic Apps finns i Gränser för hanterade identiteter för logikappar. Mer information om resurstyperna och miljöerna för förbruknings- och standardlogikappen finns i följande dokumentation:

• Vad är Azure Logic Apps?
• En enskild klientorganisation jämfört med flera klienter och integreringstjänstmiljö
• Azure Arc aktiverat Logic Apps

Här kan du använda en hanterad identitet

Endast specifika inbyggda och hanterade anslutningsåtgärder som stöder Azure AD Open Authentication (Azure AD OAuth) kan använda en hanterad identitet för autentisering. Följande tabell innehåller bara ett exempelurval. En mer fullständig lista finns i Autentiseringstyper för utlösare och åtgärder som stöder autentisering och Azure-tjänster som stöder Azure AD-autentisering med hanterade identiteter.

Den här artikeln visar hur du aktiverar och ställer in den systemtilldelningsidentitet eller användartilldelningsidentitet som baseras på om du använder resurstypen Logikapp (förbrukning) eller Logikapp (standard). Till skillnad från den systemtilldelningsidentitet som du inte behöver skapa manuellt, måste du skapa den användartilldelningsidentitet som tilldelats manuellt för resurstypen Logikapp (förbrukning). Den här artikeln innehåller stegen för att skapa den användar tilldelade identiteten med hjälp Azure Portal och Azure Resource Manager (ARM-mall). Mer Azure PowerShell, Azure CLI och Azure REST API finns i följande dokumentation:

Förutsättningar

• Ett Azure-konto och prenumeration. Om du inte har någon prenumeration kan du registrera ett kostnadsfritt Azure-konto. Både den hanterade identiteten och azure-målresursen där du behöver åtkomst måste använda samma Azure-prenumeration.

• Om du vill ge en hanterad identitet åtkomst till en Azure-resurs måste du lägga till en roll till målresursen för den identiteten. Om du vill lägga till roller behöver du Azure AD-administratörsbehörigheter som kan tilldela roller till identiteter i motsvarande Azure AD-klientorganisation.

• Den Azure-målresurs som du vill komma åt. På den här resursen lägger du till en roll för den hanterade identiteten som hjälper logikappresursen eller anslutningen att autentisera åtkomsten till målresursen.

• Logikappresursen där du vill använda utlösaren eller åtgärderna som stöder hanterade identiteter.

  Resurstyp för logikapp	Stöd för hanterade identiteter
  Förbrukning	System-tilldelad eller användar tilldelad identitet
  Standard	System tilldelad identitet (automatiskt aktiverad)

Aktivera system tilldelad identitet i Azure Portal

Aktivera system tilldelad identitet i en ARM-mall

Om du vill automatisera skapandet och distributionen av Azure-resurser, till exempel logikappar, kan du använda en ARM-mall. Om du vill aktivera den system tilldelade hanterade identiteten för logikappresursen i mallen lägger du till objektet och den underordnade egenskapen i identity type logikappens resursdefinition i mallen, till exempel:

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

När Azure skapar din resursdefinition för logikappen identity hämtar objektet följande andra egenskaper:

"identity": {
   "type": "SystemAssigned",
   "principalId": "<principal-ID>",
   "tenantId": "<Azure-AD-tenant-ID>"
}

Skapa användar tilldelad identitet i Azure Portal (endast förbrukning)

Innan du kan aktivera den användar tilldelade identiteten på din logikappresurs (förbrukning) måste du först skapa identiteten som en separat Azure-resurs.

1. I Azure Portal sökrutan anger du managed identities . Välj Hanterade identiteter.

   

2. I fönstret Hanterade identiteter väljer du Skapa.

   

3. Ange information om din hanterade identitet och välj sedan Granska + skapa, till exempel:

   

   Egenskap	Krävs	Värde	Beskrivning
   Prenumeration	Yes	<Azure-subscription-name>	Namnet på Azure-prenumerationen som ska användas
   Resursgrupp	Yes	<Azure-resource-group-name>	Namnet på den Azure-resursgrupp som ska användas. Skapa en ny grupp eller välj en befintlig grupp. I det här exemplet skapas en ny grupp med namnet fabrikam-managed-identities-RG .
   Region	Yes	<Azure-region>	Den Azure-region där du vill lagra information om din resurs. I det här exemplet används USA, västra.
   Namn	Yes	<user-assigned-identity-name>	Namnet som ska ge den användar tilldelade identiteten. I det här exemplet används Fabrikam-user-assigned-identity.

   När informationen har verifierats skapar Azure din hanterade identitet. Nu kan du lägga till den användar tilldelade identiteten till din logikappresurs, som bara kan ha en användar tilldelad identitet.

4. I Azure Portal du logikappresursen.

5. På logikappmenyn går du till Inställningar och väljer Identitet.

6. I fönstret Identitet väljer du Användar tilldelad Lägg > till.

   

7. I fönstret Lägg till användar tilldelad hanterad identitet följer du dessa steg:

   1. I listan Prenumeration väljer du din Azure-prenumeration, om du inte redan har valt den.

   2. I listan med alla hanterade identiteter i prenumerationen väljer du den användar tilldelade identiteten som du vill använda. Filtrera listan genom att i sökrutan Användartilldelningar för hanterade identiteter ange namnet på identiteten eller resursgruppen.

      

   3. När du är klar väljer du Lägg till.

      Anteckning

      Om du får ett felmeddelande om att du bara kan ha en enda hanterad identitet är logikappen redan associerad med den system tilldelade identiteten. Innan du kan lägga till den användar tilldelade identiteten måste du först inaktivera den system tilldelade identiteten.

   Logikappen är nu associerad med den användar tilldelade hanterade identiteten.

   

8. Följ nu stegen som ger identiteten åtkomst till resursen senare i det här avsnittet.

Skapa användar tilldelad identitet i en ARM-mall (endast förbrukning)

Om du vill automatisera skapandet och distributionen av Azure-resurser, till exempel logikappar, kan du använda en ARM-mallsom stöder användar tilldelade identiteter för autentisering. I mallavsnittet resources kräver logikappens resursdefinition följande objekt:

• Ett identity objekt med egenskapen inställd type på UserAssigned

• Ett userAssignedIdentities underordnat objekt som anger den användar tilldelade resursen och namnet

Det här exemplet visar en resursdefinition för en logikapp för en HTTP PUT-begäran och innehåller ett icke-parametriserat identity objekt. Svaret på PUT-begäran och efterföljande GET-åtgärd har också det här identity objektet:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Om mallen även innehåller resursdefinitionen för den hanterade identiteten kan du parameterisera identity objektet. Det här exemplet visar hur det userAssignedIdentities underordnade objektet userAssignedIdentity refererar till en variabel som du definierar i mallens variables -avsnitt. Den här variabeln refererar till resurs-ID:t för din användartilldelningsidentitet.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Ge identitetsåtkomst till resurser

Innan du kan använda logikappens hanterade identitet för autentisering måste du, på den Azure-resurs där du vill använda identiteten, konfigurera åtkomst för din identitet med hjälp av rollbaserad åtkomstkontroll i Azure (Azure RBAC). Stegen i det här avsnittet omfattar hur du tilldelar lämplig roll till den identiteten på Azure-resursen med hjälp av Azure Portal och Azure Resource Manager (ARM-mall). Mer Azure PowerShell, Azure CLI och Azure REST API finns i följande dokumentation:

Tilldela rollbaserad åtkomst för hanterad identitet i Azure Portal

På Den Azure-resurs där du vill använda den hanterade identiteten för autentisering måste du tilldela identiteten till en roll som har åtkomst till målresursen. Mer allmän information om den här uppgiften finns i Tilldela en hanterad identitetsåtkomst till en annan resurs med Hjälp av Azure RBAC.

1. I Azure Portaldu den resurs där du vill använda identiteten.

2. På resursens meny väljer du Åtkomstkontroll (IAM) Lägg till > Lägg till > rolltilldelning.

   Anteckning

   Om alternativet Lägg till rolltilldelning är inaktiverat har du inte behörighet att tilldela roller. Mer information finns i Inbyggda roller i Azure AD.

3. Tilldela nu den nödvändiga rollen till din hanterade identitet. På fliken Roll tilldelar du en roll som ger din identitet nödvändig åtkomst till den aktuella resursen.

   I det här exemplet tilldelar du rollen med namnet Storage Blob Data Contributor, som innehåller skrivåtkomst för blobar i en Azure Storage container. Mer information om specifika roller för lagringscontainer finns i Roller som kan komma åt blobar i en Azure Storage container.

4. Välj sedan den hanterade identitet där du vill tilldela rollen. Under Tilldela åtkomst till väljer du Hanterad identitet Lägg till > medlemmar.

5. Välj eller ange följande värden baserat på typen av hanterad identitet:

   Typ	Azure-tjänstinstans	Prenumeration	Medlem
   System-tilldelad	Logikapp	<Azure-subscription-name>	<your-logic-app-name>
   Användar tilldelad (endast förbrukning)	Inte tillämpligt	<Azure-subscription-name>	<your-user-assigned-identity-name>

   Mer information om hur du tilldelar roller finns i dokumentationen Tilldela roller med hjälp av Azure Portal.

6. När du är klar med att konfigurera åtkomst för identiteten kan du sedan använda identiteten för att autentisera åtkomst för utlösare och åtgärder som stöder hanterade identiteter.

Autentisera åtkomst med hanterad identitet

När du aktiverar den hanterade identiteten för logikappresursen och ger identiteten åtkomst till målresursen eller entiteten kandu använda den identiteten i utlösare och åtgärder som stöder hanterade identiteter.

De här stegen visar hur du använder den hanterade identiteten med en utlösare eller åtgärd via Azure Portal. Om du vill ange den hanterade identiteten i en utlösare eller åtgärds underliggande JSON-definition kan du läsa Hanterad identitetsautentisering.

Exempel: Autentisera inbyggd utlösare eller åtgärd med en hanterad identitet

Den inbyggda HTTP-utlösaren eller åtgärden kan använda den systemtilldelningsidentitet som du aktiverar på logikappresursen. I allmänhet använder HTTP-utlösaren eller åtgärden följande egenskaper för att ange den resurs eller entitet som du vill komma åt:

Anta till exempel att du vill köra åtgärden Ögonblicksbildblob på en blob i det Azure Storage-konto där du tidigare konfigurerade åtkomst för din identitet. Men Azure Blob Storage anslutningsappen erbjuder för närvarande inte den här åtgärden. I stället kan du köra den här åtgärden med hjälp av HTTP-åtgärden eller en annan Blob Tjänst-REST-API åtgärd.

Om du vill köra åtgärden Ögonblicksbildsblobanger HTTP-åtgärden följande egenskaper:

Exempel: Autentisera utlösare eller åtgärd för hanterad anslutningsapp med en hanterad identitet

Den Azure Resource Manager hanterade anslutningsappen har en åtgärd, Läs en resurs , som kan använda den hanterade identitet som du aktiverar på logikappresursen. Det här exemplet visar hur du använder den system tilldelade hanterade identiteten.

Resursdefinition och anslutningar för logikapp som använder en hanterad identitet (förbrukning)

En anslutning som aktiverar och använder en hanterad identitet är en särskild anslutningstyp som endast fungerar med en hanterad identitet. Vid körning använder anslutningen den hanterade identitet som är aktiverad på logikappresursen. Vid körning kontrollerar Azure Logic Apps-tjänsten om en hanterad anslutningsutlösare och åtgärder i logikappens arbetsflöde har ställts in för att använda den hanterade identiteten och att alla nödvändiga behörigheter har ställts in för att använda den hanterade identiteten för åtkomst till de målresurser som anges av utlösaren och åtgärderna. Om åtgärden lyckas Azure Logic Apps den Azure AD-token som är associerad med den hanterade identiteten och använder den identiteten för att autentisera åtkomsten till målresursen och utföra den konfigurerade åtgärden i utlösare och åtgärder.

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/{connection-name}",
            "connectionName": "{connection-name}",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{Azure-region}/managedApis/{managed-connector-type}"
         }
      }
   }
}

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/{connection-name}",
            "connectionName": "{connection-name}",
            "connectionProperties": {
               "authentication": {
                  "identity": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resourceGroupName}/providers/microsoft.managedidentity/userassignedidentities/{managed-identity-name}",
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{Azure-region}/managedApis/{managed-connector-type}"
         }
      }
   }
}

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/{Azure-subscription-ID}/providers/Microsoft.Web/locations/{region}/managedApis/<connector-name>"
            },
            "connection": {
                "id": "/subscriptions/{Azure-subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Web/connections/<connection-name>"
            },
            "connectionRuntimeUrl": <connection-URL>,
            "authentication": { // Authentication with APIHub
                "type": "ManagedServiceIdentity"
            },
            "connectionProperties": {
                "authentication": { //Authentication with the target resource
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>", // Optional
                    "audience": "<resource-URL>"
                }
            }
        }
    }
}

ARM-mall för hanterade anslutningar och hanterade identiteter (förbrukning)

Om du automatiserar distributionen med en ARM-mall och logikappens arbetsflöde innehåller en utlösare eller åtgärd för hanterad anslutningsapp som använder en hanterad identitet, bekräftar du att den underliggande anslutningsresursdefinitionen innehåller egenskapen med som parameterValueType Alternative egenskapsvärde. Annars kommer ARM-distributionen inte konfigurera anslutningen till att använda den hanterade identiteten för autentisering och anslutningen fungerar inte i logikappens arbetsflöde. Det här kravet gäller endast för specifika utlösare för hanterade anslutningsappar och åtgärder där du valde Anslut med hanterad identitet.

Här är till exempel den underliggande definitionen av anslutningsresursen för en Azure Automation-åtgärd som använder en hanterad identitet där definitionen innehåller egenskapen , som anges till parameterValueType Alternative som egenskapsvärde:

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('automationAccountApiConnectionName')]",
    "apiVersion": "2016-06-01",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "customParameterValues": {},
        "displayName": "[variables('automationAccountApiConnectionName')]",
        "parameterValueType": "Alternative"
    }
},

Inaktivera hanterad identitet

Om du vill sluta använda den hanterade identiteten för autentisering tar du först bort identitetens åtkomst till målresursen. På logikappresursen inaktiverar du sedan den systemtilldelningade identiteten eller tar bort den användar tilldelade identiteten.

När du inaktiverar den hanterade identiteten på logikappresursen tar du bort funktionen för identiteten för att begära åtkomst för Azure-resurser där identiteten hade åtkomst.

Stegen i det här avsnittet omfattar användning av Azure Portal och Azure Resource Manager mallen (ARM-mall). Mer Azure PowerShell, Azure CLI och Azure REST API finns i följande dokumentation:

Inaktivera hanterad identitet i Azure Portal

Om du vill ta bort åtkomsten för den hanterade identiteten tar du bort identitetens rolltilldelning från målresursen och inaktiverar sedan den hanterade identiteten.

Ta bort rolltilldelning

Följande steg tar bort åtkomsten till målresursen från den hanterade identiteten:

1. I den Azure Portaldu till Den Azure-målresurs där du vill ta bort åtkomsten för den hanterade identiteten.

2. På målresursens meny väljer du Åtkomstkontroll (IAM). Under verktygsfältet väljer du Rolltilldelningar.

3. I listan över roller väljer du de hanterade identiteter som du vill ta bort. Välj Ta bort i verktygsfältet.

   Tips

   Om alternativet Ta bort är inaktiverat har du förmodligen inte behörighet. Mer information om de behörigheter som gör att du kan hantera roller för resurser finns i Behörigheter för administratörsroll i Azure Active Directory.

Inaktivera hanterad identitet på logikappresurs

1. I Azure Portaldu logikappresursen.

2. På navigeringsmenyn för logikappen går Inställningar väljer du Identitet och följer sedan stegen för din identitet:

   • Välj System tilldelad > På > Spara. När Azure uppmanar dig att bekräfta väljer du Ja.

   • Välj Användar tilldelad och den hanterade identiteten och välj sedan Ta bort. När Azure uppmanar dig att bekräfta väljer du Ja.

Inaktivera hanterad identitet i en ARM-mall

Om du har skapat logikappens hanterade identitet med hjälp av en ARM-mall anger du identity objektets type underordnade egenskap till None .

"identity": {
   "type": "None"
}

Nästa steg

• Säker åtkomst och data i Azure Logic Apps