Autenticación del acceso y las conexiones a recursos de Azure con identidades administradas en Azure Logic Apps

Para un flujo de trabajo de aplicación lógica de consumo, la siguiente tabla enumera conectores de ejemplo que admiten la autenticación de identidad administrada:

En el caso de un flujo de trabajo de aplicación lógica estándar, en la siguiente tabla se enumeran los conectores de ejemplo que admiten la autenticación de identidad administrada:

En un recurso de aplicación lógica consumo, debe habilitar manualmente la identidad asignada por el sistema.

1. En Azure Portal, abra el recurso de la aplicación lógica de Consumo.

2. En el menú de la aplicación lógica, en Configuración, seleccione Identidad.

3. En la página Identidad, en Asignado por el sistema seleccione Activado>Guardar. Cuando Azure le pida confirmación, seleccione Sí.

   

   Nota:

   Si recibe un error que le indica que solo puede tener una identidad administrada, el recurso de la aplicación lógica ya está asociado a la identidad asignada por el usuario. Para poder agregar la identidad asignada por el sistema, primero debe quitar la identidad asignada por el usuario del recurso de aplicación lógica.

   El recurso de aplicación lógica ahora puede usar la identidad asignada por el sistema. Esta identidad está registrada en Microsoft Entra ID y está representada por un ID de objeto.

   

   Propiedad	Valor	Descripción
   Id. de objeto (entidad de seguridad)	<identity-resource-ID>	Un Identificador único global (GUID) que representa la identidad asignada por el sistema para su aplicación lógica en un inquilino de Microsoft Entra.

4. Ahora siga los pasos de que proporcionan acceso a la identidad asignada por el sistema al recurso más adelante en esta guía.

En un recurso de aplicación lógica estándar, la identidad asignada por el sistema se habilita automáticamente. Si necesita habilitar la identidad, siga estos pasos:

1. En Azure Portal, abra el recurso Aplicación lógica estándar.

2. En el menú de la aplicación lógica, en Configuración, seleccione Identidad.

3. En la página Identidad, en Asignado por el sistema seleccione Activado>Guardar. Cuando Azure le pida confirmación, seleccione Sí.

   

   Su recurso de aplicación lógica puede ahora utilizar la identidad asignada por el sistema, que está registrada con Microsoft Entra ID y está representada por un ID de objeto.

   

   Propiedad	Valor	Descripción
   Id. de objeto (entidad de seguridad)	<identity-resource-ID>	Un Identificador único global (GUID) que representa la identidad asignada por el sistema para su aplicación lógica en un inquilino de Microsoft Entra.

4. Ahora sigue los pasos que dan a esa identidad acceso al recurso más adelante en esta guía.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. En Azure Portal, abra el recurso de la aplicación lógica de Consumo.

2. En el menú de la aplicación lógica, en Configuración, seleccione Identidad.

3. En la página Identidad, seleccione Usuario asignado y luego seleccione Agregar.

   

4. En el panel Agregar identidad administrada asignada por el usuario, siga estos pasos:

   1. En la lista Seleccione una suscripción, seleccione la suscripción de Azure.

   2. En la lista que tiene todas las identidades administradas de la suscripción, seleccione la identidad asignada por el usuario que desee. Para filtrar la lista, en el cuadro de búsqueda Identidades administradas asignadas por el usuario, escriba el nombre de la identidad o el grupo de recursos.

      

   3. Cuando finalice, seleccione Agregar.

      Nota

      Si recibe un error que le indica que solo puede tener una identidad administrada, la aplicación lógica ya está asociada a la identidad asignada por el sistema. Para poder agregar la identidad asignada por el usuario, primero debe deshabilitar la identidad asignada por el sistema.

   La aplicación lógica ahora está asociada a la identidad asignada por el usuario.

   

5. Ahora sigue los pasos que dan acceso a la identidad al recurso más adelante en esta guía.

1. En Azure Portal, abra el recurso Aplicación lógica estándar.

2. En el menú de la aplicación lógica, en Configuración, seleccione Identidad.

3. En la página Identidad, seleccione Usuario asignado y luego seleccione Agregar.

   

4. En el panel Agregar identidad administrada asignada por el usuario, siga estos pasos:

   1. En la lista Seleccione una suscripción, seleccione la suscripción de Azure.

   2. En la lista con todas las identidades administradas de su suscripción, seleccione la identidad asignada al usuario que desee. Para filtrar la lista, en el cuadro de búsqueda Identidades administradas asignadas por el usuario, escriba el nombre de la identidad o el grupo de recursos.

      

   3. Cuando finalice, seleccione Agregar.

      La aplicación lógica ahora está asociada a la identidad asignada por el usuario.

      

   4. Para tener varias identidades asignadas por el usuario, repita los mismos pasos para agregar esas identidades.

5. Ahora sigue los pasos que dan acceso a la identidad al recurso más adelante en esta guía.

Este ejemplo muestra una definición de recurso y flujo de trabajo de una app de lógica de consumo para una solicitud HTTP PUT con un objeto de identidad no parametrizado. La respuesta a la solicitud PUT y a la operación GET posterior también incluye este objeto identidad:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Si su plantilla también incluye la definición de recursos de la identidad administrada, puede parametrizar el objeto de identidad. El siguiente ejemplo muestra cómo el objeto userAssignedIdentities secundario hace referencia a una variable userAssignedIdentityName que se define en la sección de variables de la plantilla. Esta variable hace referencia al identificador de recurso de la identidad asignada por el usuario.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Un recurso de aplicación lógica estándar puede habilitar y tener definidas tanto la identidad asignada por el sistema como múltiples identidades asignadas por el usuario. La definición de recurso de aplicación lógica estándar se basa en la definición de recurso de aplicación de funciones de Azure Functions.

En este ejemplo se muestra un recurso de aplicación lógica estándar y una definición de flujo de trabajo que incluye un objeto de identidad no parametrizado:

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Si su plantilla también incluye la definición de recursos de la identidad administrada, puede parametrizar el objeto de identidad. El siguiente ejemplo muestra cómo el objeto userAssignedIdentities secundario hace referencia a una variable userAssignedIdentityName que se define en la sección de variables de la plantilla. Esta variable hace referencia al identificador de recurso de la identidad asignada por el usuario.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Cuando la plantilla crea un recurso de aplicación lógica, el objeto identidad incluye las siguientes propiedades:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

El valor de la propiedad principalId es un identificador único para la identidad que se utiliza para la administración de Microsoft Entra. El valor de la propiedad clientId es un identificador único para la nueva identidad de la aplicación lógica que se utiliza para especificar qué identidad utilizar durante las llamadas en runtime. Para más información sobre las plantillas de Azure Resource Manager e identidades administradas para Azure Functions, consulte la siguiente documentación:

• Plantilla de ARM: Azure Functions

• Agregue una identidad asignada por el usuario mediante una plantilla de ARM para Azure Functions.

1. En Azure Portal, abra el recurso de la aplicación lógica de Consumo.

2. Si todavía no lo ha hecho, agregue el desencadenador o la acción que admita identidades administradas.

   Nota:

   No todas las operaciones del conector permiten agregar un tipo de autenticación. Para más información, consulte Tipos de autenticación para desencadenadores y acciones que admiten la autenticación.

3. Siga estos pasos en el desencadenador o en la acción que agregó:

   • Operaciones de conector integradas que admiten la autenticación de identidad administrada

     Estos pasos continúan usando la acción de HTTP como ejemplo.

     1. En la lista Parámetros avanzados, agregue la propiedad Authentication, si aún no aparece.

        

        Ahora, tanto la propiedad Authentication como la lista Tipo de autenticación aparecen en la acción.

        

     2. En la lista Tipo de autenticación, seleccione Identidad administrada.

        

        La sección Autenticación ahora muestra las siguientes opciones:

        • Una lista de identidades administradas en la que puede seleccionar una identidad administrada específica

        • La propiedad Audience aparece en desencadenadores y acciones específicos para que pueda establecer el identificador de recurso para el recurso o servicio de destino de Azure. De lo contrario, de forma predeterminada, la propiedad Audiencia usa el identificador de recurso https://management.azure.com/, que es el identificador de recurso para Azure Resource Manager.

     3. En la lista Identidad administrada, seleccione la identidad que desea utilizar, por ejemplo:

        

        Nota:

        La opción predeterminada seleccionada es la identidad administrada asignada por el sistema, incluso cuando no tiene habilitada ninguna identidad administrada.

        Para usar correctamente una identidad administrada, primero debe habilitar esa identidad en la aplicación lógica. En una aplicación lógica de consumo, puede tener la identidad administrada asignada por el sistema o asignada por el usuario, pero no ambas.

     Para obtener más información, consulte Ejemplo: Autenticar activador o acción integrados con una identidad administrada.

   • Operaciones de conector administrado que admiten la autenticación de identidad administrada

     1. En el panel Crear conexión, en la lista Autenticación, seleccione Identidad administrada, por ejemplo:

        

     2. En el siguiente panel, para Nombre de conexión, proporcione un nombre que se usará para la conexión.

     3. Para el tipo de autenticación, elija una de las siguientes opciones en función del conector administrado:

        • Autenticación única: estos conectores solo admiten un tipo de autenticación, que en este caso es la identidad administrada.

          1. En la lista Identidad administrada, seleccione la identidad administrada habilitada actualmente.

          2. Cuando esté listo, seleccione Crear nuevo.

        • Autenticación múltiple: estos conectores admiten varios tipos de autenticación, pero sólo se puede seleccionar y utilizar un tipo a la vez.

          Estos pasos continúan utilizando una acción de Azure Blob Storage como ejemplo.

          1. En la lista Tipo de autenticación, seleccione Identidad administrada de Logic Apps.

             

          2. Cuando esté listo, seleccione Crear nuevo.

        Para obtener más información, consulte Ejemplo: Autenticación del desencadenador o acción del conector administrado con una identidad administrada.

1. En Azure Portal, abra el recurso Aplicación lógica estándar.

2. Si todavía no lo ha hecho, agregue el desencadenador o la acción que admita identidades administradas.

   Nota

   No todos los desencadenadores y las acciones permiten agregar un tipo de autenticación. Para más información, consulte Tipos de autenticación para desencadenadores y acciones que admiten la autenticación.

3. Siga estos pasos en el desencadenador o en la acción que agregó:

   • Operaciones integradas que admiten la autenticación de identidad administrada

     Estos pasos continúan usando la acción de HTTP como ejemplo.

     1. En la lista Parámetros avanzados, agregue la propiedad Authentication, si aún no aparece.

        

        Ahora, tanto la propiedad Authentication como la lista Tipo de autenticación aparecen en la acción.

        

     2. En la lista Tipo de autenticación, seleccione Identidad administrada.

        

        La sección Autenticación ahora muestra las siguientes opciones:

        • Una lista de identidades administradas en la que puede seleccionar una identidad administrada específica

        • La propiedad Audience aparece en desencadenadores y acciones específicos para que pueda establecer el identificador de recurso para el recurso o servicio de destino de Azure. De lo contrario, de forma predeterminada, la propiedad Audiencia usa el identificador de recurso https://management.azure.com/, que es el identificador de recurso para Azure Resource Manager.

        

     3. En la lista Identidad administrada, seleccione la identidad que desea utilizar, por ejemplo:

        

        Nota:

        La opción predeterminada seleccionada es la identidad administrada asignada por el sistema, incluso cuando no tiene habilitada ninguna identidad administrada.

        Para usar correctamente una identidad administrada, primero debe habilitar esa identidad en la aplicación lógica. En una aplicación lógica estándar, puede tener definidas y habilitadas tanto la identidad administrada asignada por el sistema como la asignada por el usuario. Sin embargo, la aplicación lógica solo debe usar una identidad administrada a la vez.

        Por ejemplo, un flujo de trabajo que tenga distintas entidades de mensajería de Azure Service Bus solo debe usar una identidad administrada. Consulte Conexión a Azure Service Bus desde flujos de trabajo.

     Para obtener más información, consulte Ejemplo: Autenticar activador o acción integrados con una identidad administrada.

   • Operaciones de conector administrado que admiten la autenticación de identidad administrada

     1. En el panel Crear conexión, en la lista Autenticación, seleccione Identidad administrada, por ejemplo:

        

     2. En el siguiente panel, para Nombre de conexión, proporcione un nombre que se usará para la conexión.

     3. Para el tipo de autenticación, elija una de las siguientes opciones en función del conector administrado:

        • Autenticación única: estos conectores solo admiten un tipo de autenticación, que en este caso es la identidad administrada.

          1. En la lista Identidad administrada, seleccione la identidad administrada habilitada actualmente.

          2. Cuando esté listo, seleccione Crear nuevo.

        • Autenticación múltiple: estos conectores admiten varios tipos de autenticación, pero sólo se puede seleccionar y utilizar un tipo a la vez.

          Estos pasos continúan utilizando una acción de Azure Blob Storage como ejemplo.

          1. En la lista Tipo de autenticación, seleccione Identidad administrada de Logic Apps.

             

          2. En la lista de identidades administradas, seleccione la identidad que quiere usar.

             

          3. Cuando esté listo, seleccione Crear nuevo.

        Para obtener más información, consulte Ejemplo: Autenticación del desencadenador o acción del conector administrado con una identidad administrada.

1. En el diseñador de flujos de trabajo, agregue cualquier desencadenador que desee y luego agregue la acción HTTP.

   En el ejemplo siguiente se muestra una acción HTTP de ejemplo con todos los valores de propiedad descritos anteriormente que se usarán para la operación de blob de instantáneas:

   

2. En la acción HTTP, agregue la propiedad Authentication. En la lista Parámetros avanzados, seleccione Autenticación.

   

   La sección Autenticación aparece ahora en la acción HTTP.

   Nota:

   No todos los desencadenadores y las acciones permiten agregar un tipo de autenticación. Para más información, consulte Tipos de autenticación para desencadenadores y acciones que admiten la autenticación.

3. En la lista Tipo de autenticación, seleccione Identidad administrada.

   

4. En la lista identidades administradas, seleccione entre las opciones disponibles en función de su escenario.

   • Si configura la identidad asignada por el sistema, seleccione identidad administrada asignada por el sistema.

     

   • Si configura la identidad asignada por el usuario, seleccione esa identidad.

     

   Este ejemplo continúa con la Identidad administrada asignada por el sistema.

5. En algunos desencadenadores y acciones, aparece la propiedad Audience para que pueda establecer el identificador de recurso para el recurso o servicio de Azure de destino.

   Por ejemplo, para autenticar el acceso a un recurso de Key Vault en la nube global de Azure, debe establecer la propiedad Audience en exactamente el siguiente id. de recurso: https://vault.azure.net

   Si no establece la propiedad Audience, de forma predeterminada, la propiedad Audience utiliza el id. de recurso, que es el id. de recurso https://management.azure.com/ para Azure Resource Manager.

   Importante

   Asegúrese de que el id. del recurso de destino coincide exactamente con el valor que espera Microsoft Entra ID. De lo contrario, puede obtener un error de 400 Bad Request o un error de 401 Unauthorized. Por lo tanto, si el identificador de recurso incluye barras diagonales finales, asegúrese de incluirlas. De lo contrario, no los incluyas.

   Por ejemplo, el Id. de recurso para todas las cuentas de Azure Blob Storage requiere una barra diagonal final. Sin embargo, el Id. de recurso de una cuenta de almacenamiento específica no requiere una barra diagonal final. Compruebe los ID de recursos de los servicios Azure compatibles con Microsoft Entra ID.

   En este ejemplo se establece la propiedad Audiencia en https://storage.azure.com/, de modo que los tokens de acceso que se usan para la autenticación sean válidos para todas las cuentas de almacenamiento. Sin embargo, también puede especificar una dirección URL de servicio raíz, https://<your-storage-account>.blob.core.windows.net, para una cuenta de almacenamiento específica.

   

   Para obtener más información sobre la autorización de acceso con Microsoft Entra ID para Azure Storage, consulte la siguiente documentación:

   • Autorizar el acceso a blobs y colas de Azure mediante Microsoft Entra ID

   • Autorizar el acceso a Azure Storage con OAuth

6. Siga creando el flujo de trabajo como desee.

1. En el diseñador de flujos de trabajo, agregue cualquier desencadenador que desee y luego agregue la acción HTTP.

   En el ejemplo siguiente se muestra una acción HTTP de ejemplo con todos los valores de propiedad descritos anteriormente que se usarán para la operación de blob de instantáneas:

   

2. En la acción HTTP, agregue la propiedad Authentication. En la lista Parámetros avanzados, seleccione Autenticación.

   

   La sección Autenticación aparece ahora en la acción HTTP.

   Nota:

   No todos los desencadenadores y las acciones permiten agregar un tipo de autenticación. Para más información, consulte Tipos de autenticación para desencadenadores y acciones que admiten la autenticación.

3. En la lista Tipo de autenticación, seleccione Identidad administrada.

   

4. En la lista identidades administradas, seleccione entre las opciones disponibles en función de su escenario.

   • Si configura la identidad asignada por el sistema, seleccione identidad administrada asignada por el sistema.

     

   • Si configura una identidad asignada por el usuario, seleccione esa identidad.

     

   Este ejemplo continúa con la Identidad administrada asignada por el sistema.

5. En algunos desencadenadores y acciones, aparece la propiedad Audience para que pueda establecer el identificador de recurso para el recurso o servicio de Azure de destino.

   Por ejemplo, para autenticar el acceso a un recurso de Key Vault en la nube global de Azure, debe establecer la propiedad Audience en exactamente el siguiente id. de recurso: https://vault.azure.net

   Si no establece la propiedad Audience, de forma predeterminada, la propiedad Audience utiliza el id. de recurso, que es el id. de recurso https://management.azure.com/ para Azure Resource Manager.

   Importante

   Asegúrese de que el id. del recurso de destino coincide exactamente con el valor que espera Microsoft Entra ID. De lo contrario, puede obtener un error de 400 Bad Request o un error de 401 Unauthorized. Por lo tanto, si el identificador de recurso incluye barras diagonales finales, asegúrese de incluirlas. De lo contrario, no los incluyas.

   Por ejemplo, el Id. de recurso para todas las cuentas de Azure Blob Storage requiere una barra diagonal final. Sin embargo, el Id. de recurso de una cuenta de almacenamiento específica no requiere una barra diagonal final. Compruebe los ID de recursos de los servicios Azure compatibles con Microsoft Entra ID.

   En este ejemplo se establece la propiedad Audiencia en https://storage.azure.com/, de modo que los tokens de acceso que se usan para la autenticación sean válidos para todas las cuentas de almacenamiento. Sin embargo, también puede especificar una dirección URL de servicio raíz, https://<your-storage-account>.blob.core.windows.net, para una cuenta de almacenamiento específica.

   

   Para obtener más información sobre la autorización de acceso con Microsoft Entra ID para Azure Storage, consulte la siguiente documentación:

   • Autorizar el acceso a blobs y colas de Azure mediante Microsoft Entra ID

   • Autorizar el acceso a Azure Storage con OAuth

6. Siga creando el flujo de trabajo como desee.

1. En el diseñador de flujos de trabajo, agregue la acción Azure Resource Manager denominada Leer un recurso.

2. En el panel Crear conexión, en la lista Autenticación, seleccione Identidad administrada y luego seleccione Iniciar sesión.

   Nota:

   En otros conectores, la lista Tipo de autenticación muestra Identidad administrada de Logic Apps en su lugar, así que seleccione esta opción.

   

3. Proporcione un nombre para la conexión y seleccione la identidad administrada que desea usar.

   Si ha habilitado la identidad asignada por el sistema, la lista Identidad administrada selecciona automáticamente Identidad administrada asignada por el sistema. Si ha habilitado una identidad asignada por el usuario en su lugar, la lista selecciona automáticamente la identidad asignada por el usuario.

   En este ejemplo, la identidad administrada asignada por el sistema es la única selección disponible.

   

   Nota:

   Si la identidad administrada no está habilitada cuando intente crear o cambiar la conexión, o si la identidad administrada se ha eliminado mientras sigue existiendo una conexión habilitada para la identidad administrada, obtendrá un error que le indicará que debe habilitar la identidad y conceder acceso al recurso de destino.

4. Cuando esté listo, seleccione Crear nuevo.

5. Una vez que el diseñador crea correctamente la conexión, puede usar la autenticación de identidad administrada para capturar cualquier esquema, contenido o valor dinámico.

6. Siga creando el flujo de trabajo como desee.

1. En el diseñador de flujos de trabajo, agregue la acción Azure Resource Manager denominada Leer un recurso.

2. En el panel Crear conexión, en la lista Autenticación, seleccione Identidad administrada y luego seleccione Iniciar sesión.

   Nota:

   En otros conectores, la lista Tipo de autenticación muestra Identidad administrada de Logic Apps en su lugar, así que seleccione esta opción.

   

3. Proporcione un nombre para la conexión y seleccione la identidad administrada que desea usar.

   De forma predeterminada, los recursos de aplicaciones lógicas estándar tienen activada automáticamente la identidad asignada por el sistema. Por lo tanto, la lista identidad administrada selecciona automáticamente identidad administrada asignada por el sistema. Si también ha habilitado una o varias identidades asignadas por el usuario, la lista Identidades administradas muestra, por ejemplo, todas las identidades administradas habilitadas actualmente:

   

   Nota:

   Si la identidad administrada no está habilitada cuando intente crear o cambiar la conexión, o si la identidad administrada se ha eliminado mientras sigue existiendo una conexión habilitada para la identidad administrada, obtendrá un error que le indicará que debe habilitar la identidad y conceder acceso al recurso de destino.

4. Cuando esté listo, seleccione Crear nuevo.

5. Una vez que el diseñador crea correctamente la conexión, puede usar la autenticación de identidad administrada para capturar cualquier esquema, contenido o valor dinámico.

6. Siga creando el flujo de trabajo como desee.

En un recurso de aplicación lógica consumo, la configuración de conexión se guarda en el objeto parameters de la definición de recursos, que contiene el objeto $connections que incluye punteros al identificador de recurso de la conexión junto con el identificador de recurso de la identidad administrada cuando se habilita la identidad asignada por el usuario.

Este ejemplo muestra la configuración del objeto parameters cuando la aplicación lógica activa la identidad asignada por el sistema:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

En este ejemplo se muestra la configuración del objeto parameters cuando la aplicación lógica habilita la identidad administrada asignada por el usuario :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

En un recurso de aplicación lógica estándar, la configuración de conexión se guarda en el recurso de aplicación lógica o en el archivo connections.json del proyecto, que contiene un objeto managedApiConnections que incluye información de configuración de conexión para cada conector administrado usado en un flujo de trabajo. Esta información de conexión incluye punteros al id de recurso de la conexión junto con las propiedades de la identidad administrada, como el id. de recurso cuando la identidad asignada por el usuario está habilitada.

En este ejemplo se muestra la configuración del objeto managedApiConnections cuando la aplicación lógica habilita la identidad de asignada por el sistema:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

En este ejemplo se muestra la configuración del objeto managedApiConnections cuando la aplicación lógica habilita la identidad de asignada por el usuario:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Los siguientes ejemplos se aplican a los recursos de la aplicación lógica de consumo y muestran cómo la definición del recurso del conector subyacente difiere entre un conector de autenticación única y un conector de autenticación múltiple.

Autenticación única

En este ejemplo se muestra la definición de recurso de conexión subyacente para una acción de conector que solo admite un tipo de autenticación y usa una identidad administrada en un flujo de trabajo de aplicación lógica consumo donde la definición incluye los siguientes atributos:

• La propiedad kind se establece en V1 para una aplicación lógica de consumo.

• La propiedad parameterValueType se establece en Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Autenticación múltiple

En este ejemplo se muestra la definición de recursos de conexión subyacente para una acción del conector que admite varios tipos de autenticación y usa una identidad administrada en un flujo de trabajo de aplicación lógica consumo donde la definición incluye los siguientes atributos:

• La propiedad kind se establece en V1 para una aplicación lógica de consumo.

• El objeto parameterValueSet incluye una propiedad name establecida en managedIdentityAuth y una propiedad values establecida en un objeto vacío.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Los siguientes ejemplos se aplican a los recursos de aplicación lógica estándar y muestran cómo la definición de recursos del conector subyacente difiere entre un conector de autenticación única y un conector de autenticación múltiple.

Autenticación única

En este ejemplo se muestra la definición de recurso de conexión subyacente para una acción del conector que solo admite un tipo de autenticación y usa una identidad administrada en un flujo de trabajo de aplicación lógica estándar donde la definición incluye los siguientes atributos:

• La propiedad kind se establece en V2 para una aplicación lógica estándar.

• La propiedad parameterValueType se establece en Alternative.

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Autenticación múltiple

En este ejemplo se muestra la definición de recursos de conexión subyacente para una acción del conector que admite varios tipos de autenticación y usa una identidad administrada en un flujo de trabajo de aplicación lógica estándar donde la definición incluye los siguientes atributos:

• La propiedad kind se establece en V2 para una aplicación lógica estándar.

• El objeto parameterValueSet incluye una propiedad name establecida en managedIdentityAuth y una propiedad values establecida en un objeto vacío.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

En la siguiente definición de recursos Microsoft.Web/connections, asegúrese de agregar una directiva de acceso que especifique una definición de recurso para cada conexión de API y proporcione la siguiente información:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Para obtener más información, consulte Microsoft.Web/connections/accesspolicies (plantilla de ARM).