Authentifiez l’accès et les connexions aux ressources Azure avec des identités managées dans Azure Logic Apps

Pour un flux de travail d’application logique de Consommation, le tableau suivant répertorie des exemples de connecteurs qui prennent en charge l’authentification avec une identité managée :

Pour un flux de travail d’application logique Standard, le tableau suivant répertorie des exemples de connecteurs qui prennent en charge l’authentification avec une identité managée :

Sur une ressource d’application logique de Consommation, vous devez activer manuellement l’identité affectée par le système.

1. Sur le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Dans le menu de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sous Affectée par le système, sélectionnez Activée>Enregistrer. Quand Azure vous invite à confirmer l’opération, sélectionnez Oui.

   

   Remarque

   Si vous recevez une erreur indiquant que vous ne pouvez avoir qu’une seule identité managée, cela signifie que votre ressource d’application logique est déjà associée à l’identité affectée par l’utilisateur. Avant de pouvoir ajouter l’identité affectée par le système, vous devez d’abord supprimer l’identité affectée par l’utilisateur à partir de votre application logique.

   Votre ressource d’application logique peut désormais utiliser l’identité affectée par le système. Cette identité est inscrite auprès de Microsoft Entra ID et est représentée par un ID d’objet.

   

   Propriété	Valeur	Description
   ID de l’objet (principal)	<identity-resource-ID>	GUID (identificateur global unique) qui représente l’identité affectée par le système pour votre application logique dans un locataire Microsoft Entra.

4. À présent, suivez les étapes qui donnent à l’identité affectée par le système l’accès à la ressource, que vous trouverez plus loin dans ce guide.

Sur une ressource d’application logique Standard, l’identité affectée par le système est automatiquement activée. Si vous devez activer l’identité, procédez comme suit :

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Dans le menu de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sous Affectée par le système, sélectionnez Activée>Enregistrer. Quand Azure vous invite à confirmer l’opération, sélectionnez Oui.

   

   Votre ressource d’application logique peut désormais utiliser l’identité affectée par le système qui est inscrite auprès de Microsoft Entra ID et représentée par un ID d’objet.

   

   Propriété	Valeur	Description
   ID de l’objet (principal)	<identity-resource-ID>	GUID (identificateur global unique) qui représente l’identité affectée par le système pour votre application logique dans un locataire Microsoft Entra.

4. À présent, suivez les étapes qui donnent à cette identité l’accès à la ressource, et que vous trouverez plus loin dans ce guide.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Sur le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Dans le menu de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sélectionnez Affectée par l’utilisateur, puis Ajouter.

   

4. Dans le volet Ajouter une identité managée affectée par l’utilisateur, effectuez les étapes suivantes :

   1. Dans la liste déroulante Sélectionner un Abonnement, sélectionnez votre abonnement Azure.

   2. Dans la liste qui contient toutes les identités managées de votre abonnement, sélectionnez l’identité affectée par l’utilisateur qui vous intéresse. Pour filtrer la liste, dans la zone de recherche Identités managées affectées par l’utilisateur, entrez le nom de l’identité ou du groupe de ressources.

      

   3. Une fois que vous avez terminé, sélectionnez Ajouter.

      Notes

      Si vous recevez une erreur indiquant que vous ne pouvez avoir qu’une seule identité managée, cela signifie que votre application logique est déjà associée à l’identité affectée par le système. Avant de pouvoir ajouter l’identité affectée par l’utilisateur, vous devez d’abord désactiver l’identité affectée par le système.

   Votre application logique est désormais associée à l’identité affectée par l’utilisateur.

   

5. À présent, suivez les étapes qui donnent à l’identité l’accès à la ressource, que vous trouverez plus loin dans ce guide.

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Dans le menu de l’application logique, sous Paramètres, sélectionnez Identité.

3. Sur la page Identité, sélectionnez Affectée par l’utilisateur, puis Ajouter.

   

4. Dans le volet Ajouter une identité managée affectée par l’utilisateur, effectuez les étapes suivantes :

   1. Dans la liste déroulante Sélectionner un Abonnement, sélectionnez votre abonnement Azure.

   2. Dans la liste présentant toutes les identités managées de votre abonnement, sélectionnez l’identité affectée par l’utilisateur qui vous intéresse. Pour filtrer la liste, dans la zone de recherche Identités managées affectées par l’utilisateur, entrez le nom de l’identité ou du groupe de ressources.

      

   3. Une fois que vous avez terminé, sélectionnez Ajouter.

      Votre application logique est désormais associée à l’identité affectée par l’utilisateur.

      

   4. Pour disposer de plusieurs identités affectées par l’utilisateur, répétez les mêmes étapes pour ajouter ces identités.

5. À présent, suivez les étapes qui donnent à l’identité l’accès à la ressource, que vous trouverez plus loin dans ce guide.

Cet exemple montre la définition d’un flux de travail et d’une ressource d’application logique de Consommation pour une requête HTTP PUT avec un objet identité non paramétrisé. La réponse à la requête PUT et à l’opération GET qui suit comporte également cet objet identité :

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Si votre modèle inclut également la définition de ressource de l’identité managée, vous pouvez paramétriser l’objet identité. L’exemple suivant montre comment l’objet enfant userAssignedIdentities fait référence à une variable userAssignedIdentityName que vous définissez dans la section variables de votre modèle. Cette variable référence l’ID de ressource de l’identité affectée par l’utilisateur.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Une ressource d’application logique Standard peut activer et utiliser à la fois l’identité affectée par le système et plusieurs identités affectées par l’utilisateur définies. La définition de ressource d’application logique standard est basée sur la définition de ressource d’application de fonction Azure Functions.

Cet exemple montre une définition d’un flux de travail et d’une ressource d’application logique Standard qui comprend un objet identité non paramétrisé :

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Si votre modèle inclut également la définition de ressource de l’identité managée, vous pouvez paramétriser l’objet identité. L’exemple suivant montre comment l’objet enfant userAssignedIdentities fait référence à une variable userAssignedIdentityName que vous définissez dans la section variables de votre modèle. Cette variable référence l’ID de ressource de l’identité affectée par l’utilisateur.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Lorsque le modèle crée une ressource d’application logique, l’objet identité inclut les propriétés suivantes :

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

La valeur de propriété principalId est un identificateur unique pour l’identité qui est utilisée pour l’administration de Microsoft Entra. La valeur de propriété clientId est un identificateur unique pour la nouvelle identité de l’application logique qui est utilisée pour spécifier l’identité à utiliser lors des appels de runtime. Pour plus d’informations sur les modèles Azure Resource Manager et les identités managées pour Azure Functions, consultez la documentation suivante :

• Modèle ARM – Azure Functions

• Ajoutez une identité affectée par l’utilisateur en utilisant un modèle ARM pour Azure Functions.

1. Sur le portail Azure, ouvrez votre ressource d’application logique Consommation.

2. Si ce n’est encore fait, ajoutez le déclencheur ou l’action prenant en charge les identités managées.

   Remarque

   Toutes les opérations de connecteur ne vous permettent pas d’ajouter un type d’authentification. Pour plus d’informations, consultez Types d’authentification pour les déclencheurs et les actions qui prennent en charge l’authentification.

3. Sur le déclencheur ou l’action que vous avez ajouté, procédez comme suit :

   • Opérations de connecteur intégré qui prennent en charge l’authentification avec des identités managées

     Ces étapes continuent à l’aide de l’action HTTP comme exemple.

     1. Dans la liste Paramètres avancés, ajoutez la propriété Authentification si la propriété n’apparaît pas déjà.

        

        À présent, la propriété Authentication et la liste Type d’authentification apparaissent dans l’action.

        

     2. Dans la liste Type d’authentification, sélectionnez Identité managée.

        

        La section Authentification montre maintenant les options suivantes :

        • Une liste Identité managée à partir de laquelle vous pouvez sélectionner une identité managée spécifique

        • La propriété Audience s’affiche sur des déclencheurs et des actions spécifiques pour vous permettre de définir l’ID de ressource pour la ressource ou le service cible Azure. Autrement, par défaut, la propriété Audience utilise l’ID de ressource https://management.azure.com/, qui est l’ID de ressource pour Azure Resource Manager.

     3. Dans la liste Identité managée, sélectionnez l’identité que vous souhaitez utiliser, par exemple :

        

        Remarque

        L’option sélectionnée par défaut est Identité managée affectée par le système, même si vous n’avez pas d’identités managées activées.

        Pour réussir à utiliser une identité managée, vous devez d’abord activer cette identité sur votre application logique. Sur une application logique de Consommation, vous pouvez avoir soit l’identité managée affectée par le système soit l’identité managée affectée par l'utilisateur, mais pas les deux.

     Pour plus d’informations, consultez l’article Exemple : authentifier le déclencheur ou l’action intégrés avec une identité managée.

   • Opérations de connecteur managé qui prennent en charge l’authentification avec des identités managées

     1. Dans le volet Créer une connexion, dans la liste Authentification, sélectionnez Identité managée, par exemple :

        

     2. Dans le volet suivant, renseignez le champ Nom de la connexion.

     3. Pour le type d’authentification, choisissez l’une des options suivantes en fonction de votre connecteur managé :

        • Authentification unique : ces connecteurs ne prennent en charge qu’un seul type d’authentification, qui est l’identité managée dans ce cas.

          1. Dans la liste Identité managée, sélectionnez l’identité managée actuellement activée.

          2. Quand vous êtes prêt, sélectionnez Créer.

        • Authentification multiple : ces connecteurs prennent en charge plusieurs types d’authentification, mais vous ne pouvez en sélectionner et en utiliser qu’un seul à la fois.

          Ces étapes continuent à l’aide de l’action Stockage Blob Azure comme exemple.

          1. Dans la liste Type d’authentification, sélectionnez Identité managée Logic Apps.

             

          2. Quand vous êtes prêt, sélectionnez Créer.

        Pour plus d’informations, consultez l’article Exemple : authentifier un déclencheur ou une action de connecteur managé avec une identité managée.

1. Dans le portail Azure, ouvrez votre ressource d’application logique Standard.

2. Si ce n’est encore fait, ajoutez le déclencheur ou l’action prenant en charge les identités managées.

   Notes

   Tous les déclencheurs et toutes les actions ne vous permettent pas d’ajouter un type d’authentification. Pour plus d’informations, consultez Types d’authentification pour les déclencheurs et les actions qui prennent en charge l’authentification.

3. Sur le déclencheur ou l’action que vous avez ajouté, procédez comme suit :

   • Opérations intégrées qui prennent en charge l’authentification avec des identités managées

     Ces étapes continuent à l’aide de l’action HTTP comme exemple.

     1. Dans la liste Paramètres avancés, ajoutez la propriété Authentification si la propriété n’apparaît pas déjà.

        

        À présent, la propriété Authentication et la liste Type d’authentification apparaissent dans l’action.

        

     2. Dans la liste Type d’authentification, sélectionnez Identité managée.

        

        La section Authentification montre maintenant les options suivantes :

        • Une liste Identité managée à partir de laquelle vous pouvez sélectionner une identité managée spécifique

        • La propriété Audience s’affiche sur des déclencheurs et des actions spécifiques pour vous permettre de définir l’ID de ressource pour la ressource ou le service cible Azure. Autrement, par défaut, la propriété Audience utilise l’ID de ressource https://management.azure.com/, qui est l’ID de ressource pour Azure Resource Manager.

        

     3. Dans la liste Identité managée, sélectionnez l’identité que vous souhaitez utiliser, par exemple :

        

        Remarque

        L’option sélectionnée par défaut est Identité managée affectée par le système, même si vous n’avez pas d’identités managées activées.

        Pour réussir à utiliser une identité managée, vous devez d’abord activer cette identité sur votre application logique. Sur une application logique Standard, vous pouvez avoir à la fois l’identité managée affectée par le système et l’identité managée affectée par l'utilisateur définies et activées. Toutefois, votre application logique ne peut utiliser qu’une seule identité managée à la fois.

        Par exemple, un flux de travail qui accède à différentes entités de messagerie Azure Service Bus ne doit utiliser qu’une seule identité managée. Consultez Se connecter à Azure Service Bus à partir de flux de travail.

     Pour plus d’informations, consultez l’article Exemple : authentifier le déclencheur ou l’action intégrés avec une identité managée.

   • Opérations de connecteur managé qui prennent en charge l’authentification avec des identités managées

     1. Dans le volet Créer une connexion, dans la liste Authentification, sélectionnez Identité managée, par exemple :

        

     2. Dans le volet suivant, renseignez le champ Nom de la connexion.

     3. Pour le type d’authentification, choisissez l’une des options suivantes en fonction de votre connecteur managé :

        • Authentification unique : ces connecteurs ne prennent en charge qu’un seul type d’authentification, qui est l’identité managée dans ce cas.

          1. Dans la liste Identité managée, sélectionnez l’identité managée actuellement activée.

          2. Quand vous êtes prêt, sélectionnez Créer.

        • Authentification multiple : ces connecteurs prennent en charge plusieurs types d’authentification, mais vous ne pouvez en sélectionner et en utiliser qu’un seul à la fois.

          Ces étapes continuent à l’aide de l’action Stockage Blob Azure comme exemple.

          1. Dans la liste Type d’authentification, sélectionnez Identité managée Logic Apps.

             

          2. Dans la liste Identité managée, sélectionnez l’identité que vous souhaitez utiliser.

             

          3. Quand vous êtes prêt, sélectionnez Créer.

        Pour plus d’informations, consultez l’article Exemple : authentifier un déclencheur ou une action de connecteur managé avec une identité managée.

1. Dans le concepteur de flux de travail, ajoutez les déclencheurs souhaités, puis ajoutez l’action HTTP.

   L’exemple suivant montre un exemple d’action HTTP avec toutes les valeurs de propriété précédemment décrites à utiliser pour l’opération Snapshot Blob :

   

2. Dans l’action HTTP, ajoutez la propriété Authentification. Dans la liste Paramètres avancés, sélectionnez Authentification.

   

   La section Authentification apparaît désormais dans votre action HTTP.

   Remarque

   Tous les déclencheurs et toutes les actions ne vous permettent pas d’ajouter un type d’authentification. Pour plus d’informations, consultez Types d’authentification pour les déclencheurs et les actions qui prennent en charge l’authentification.

3. Dans la liste Type d’authentification, sélectionnez Identité managée.

   

4. Dans la liste Identité managée, sélectionnez les options disponibles en fonction de votre scénario.

   • Si vous configurez l’identité affectée par le système, sélectionnez Identité managée affectée par le système.

     

   • Si vous configurez une identité affectée par l’utilisateur, sélectionnez cette identité.

     

   Cet exemple se poursuit avec l’identité managée affectée par le système.

5. Sur des connecteurs et actions spécifiques, la propriété Audience s’affiche pour vous permettre de définir l’ID de ressource pour la ressource ou le service cible Azure.

   Par exemple, pour authentifier l’accès à une ressource Key Vault dans le cloud global Azure, vous devez définir la propriété Audience précisément sur l’ID de ressource suivant : https://vault.azure.net

   Si vous ne définissez pas la propriété Audience, la propriété Audience utilise par défaut l’ID de ressource https://management.azure.com/, qui est l’ID de ressource d’Azure Resource Manager.

   Important

   Vérifiez que l’ID de ressource cible correspond exactement à la valeur attendue par Microsoft Entra ID. Sinon, vous pouvez obtenir une erreur 400 Bad Request ou une erreur 401 Unauthorized. Par conséquent, si l’ID de ressource inclut des barres obliques de fin, veillez à les inclure. Sinon, ne les incluez pas.

   Par exemple, l’ID de ressource pour tous les comptes de Stockage Blob Azure requiert une barre oblique finale. Toutefois, l’ID de ressource pour un compte de stockage spécifique ne requiert pas de barre oblique finale. Vérifiez les ID de ressource des services Azure qui prennent en charge Microsoft Entra ID.

   Cet exemple définit la propriété Audience sur https://storage.azure.com/ afin que les jetons d’accès utilisés pour l’authentification soient valides pour tous les comptes de stockage. Toutefois, vous pouvez également spécifier l’URL du service racine, https://<your-storage-account>.blob.core.windows.net, pour un compte de stockage spécifique.

   

   Pour plus d’informations sur l’autorisation de l’accès au Stockage Azure avec Microsoft Entra ID, consultez la documentation suivante :

   • Autoriser l’accès aux objets blob et aux files d’attente Azure en utilisant Microsoft Entra ID

   • Autoriser l’accès à Stockage Azure avec OAuth

6. Continuez à créer le workflow comme vous le souhaitez.

1. Dans le concepteur de flux de travail, ajoutez les déclencheurs souhaités, puis ajoutez l’action HTTP.

   L’exemple suivant montre un exemple d’action HTTP avec toutes les valeurs de propriété précédemment décrites à utiliser pour l’opération Snapshot Blob :

   

2. Dans l’action HTTP, ajoutez la propriété Authentification. Dans la liste Paramètres avancés, sélectionnez Authentification.

   

   La section Authentification apparaît désormais dans votre action HTTP.

   Remarque

   Tous les déclencheurs et toutes les actions ne vous permettent pas d’ajouter un type d’authentification. Pour plus d’informations, consultez Types d’authentification pour les déclencheurs et les actions qui prennent en charge l’authentification.

3. Dans la liste Type d’authentification, sélectionnez Identité managée.

   

4. Dans la liste Identité managée, sélectionnez les options disponibles en fonction de votre scénario.

   • Si vous configurez l’identité affectée par le système, sélectionnez Identité managée affectée par le système.

     

   • Si vous configurez une identité affectée par l’utilisateur, sélectionnez cette identité.

     

   Cet exemple se poursuit avec l’identité managée affectée par le système.

5. Sur des connecteurs et actions spécifiques, la propriété Audience s’affiche pour vous permettre de définir l’ID de ressource pour la ressource ou le service cible Azure.

   Par exemple, pour authentifier l’accès à une ressource Key Vault dans le cloud global Azure, vous devez définir la propriété Audience précisément sur l’ID de ressource suivant : https://vault.azure.net

   Si vous ne définissez pas la propriété Audience, la propriété Audience utilise par défaut l’ID de ressource https://management.azure.com/, qui est l’ID de ressource d’Azure Resource Manager.

   Important

   Vérifiez que l’ID de ressource cible correspond exactement à la valeur attendue par Microsoft Entra ID. Sinon, vous pouvez obtenir une erreur 400 Bad Request ou une erreur 401 Unauthorized. Par conséquent, si l’ID de ressource inclut des barres obliques de fin, veillez à les inclure. Sinon, ne les incluez pas.

   Par exemple, l’ID de ressource pour tous les comptes de Stockage Blob Azure requiert une barre oblique finale. Toutefois, l’ID de ressource pour un compte de stockage spécifique ne requiert pas de barre oblique finale. Vérifiez les ID de ressource des services Azure qui prennent en charge Microsoft Entra ID.

   Cet exemple définit la propriété Audience sur https://storage.azure.com/ afin que les jetons d’accès utilisés pour l’authentification soient valides pour tous les comptes de stockage. Toutefois, vous pouvez également spécifier l’URL du service racine, https://<your-storage-account>.blob.core.windows.net, pour un compte de stockage spécifique.

   

   Pour plus d’informations sur l’autorisation de l’accès au Stockage Azure avec Microsoft Entra ID, consultez la documentation suivante :

   • Autoriser l’accès aux objets blob et aux files d’attente Azure en utilisant Microsoft Entra ID

   • Autoriser l’accès à Stockage Azure avec OAuth

6. Continuez à créer le workflow comme vous le souhaitez.

1. Dans le concepteur de flux de travail, ajoutez l’action Azure Resource Manager nommée Lire une ressource.

2. Dans le volet Créer une connexion, dans la liste Authentification, sélectionnez Identité managée, puis Se connecter.

   Remarque

   Dans d’autres connecteurs, la liste Type d’authentification affiche Identité managée Logic Apps à la place. Sélectionnez cette option.

   

3. Indiquez un nom pour la connexion et sélectionnez l’identité managée à utiliser.

   Si vous avez activé une identité managée affectée par le système, la liste Identité managée sélectionne Identité managée affectée par le système. Si vous avez activé une identité affectée par l’utilisateur à la place, la liste sélectionne automatiquement l’identité affectée par l’utilisateur.

   Dans cet exemple, Identité managée affectée par le système est la seule sélection disponible.

   

   Remarque

   Si l’identité managée n’est pas activée quand vous essayez de créer ou de modifier la connexion ou qu’elle a été supprimée alors qu’une connexion avec une identité managée existe encore, vous recevez une erreur indiquant que vous devez activer l’identité et accorder l’accès à la ressource cible.

4. Quand vous êtes prêt, sélectionnez Créer.

5. Une fois qu’il a réussi à créer la connexion, le concepteur peut extraire les valeurs, le contenu ou le schéma dynamiques à l’aide de l’authentification par identité managée.

6. Continuez à créer le workflow comme vous le souhaitez.

1. Dans le concepteur de flux de travail, ajoutez l’action Azure Resource Manager nommée Lire une ressource.

2. Dans le volet Créer une connexion, dans la liste Authentification, sélectionnez Identité managée, puis Se connecter.

   Remarque

   Dans d’autres connecteurs, la liste Type d’authentification affiche Identité managée Logic Apps à la place. Sélectionnez cette option.

   

3. Indiquez un nom pour la connexion et sélectionnez l’identité managée à utiliser.

   Par défaut, l’identité managée affectée par le système est automatiquement activée pour les ressources d’application logique Standard. Par conséquent, la liste Identité managée sélectionne automatiquement Identité managée affectée par le système. Si vous avez également activé une ou plusieurs identités affectées par l’utilisateur, la liste Identité managée affiche toutes les identités managées actuellement activées, par exemple :

   

   Remarque

   Si l’identité managée n’est pas activée quand vous essayez de créer ou de modifier la connexion ou qu’elle a été supprimée alors qu’une connexion avec une identité managée existe encore, vous recevez une erreur indiquant que vous devez activer l’identité et accorder l’accès à la ressource cible.

4. Quand vous êtes prêt, sélectionnez Créer.

5. Une fois qu’il a réussi à créer la connexion, le concepteur peut extraire les valeurs, le contenu ou le schéma dynamiques à l’aide de l’authentification par identité managée.

6. Continuez à créer le workflow comme vous le souhaitez.

Dans une ressource d’application logique de Consommation, la configuration de la connexion est enregistrée dans l’objet parameters de la définition de la ressource, qui contient l’objet $connections qui inclut des pointeurs vers l’ID de ressource de la connexion ainsi que l’ID de ressource de l’identité managée, si l’identité affectée par l’utilisateur est activée.

Cet exemple montre la configuration de l’objet parameters lorsque l’application logique active l’identité affectée par le système :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Cet exemple montre la configuration de l’objet parameters lorsque l’application logique active l’identité managée affectée par l’utilisateur :

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Dans une ressource d’application logique Standard, la configuration de la connexion est enregistrée dans la ressource d’application logique ou le fichier connections.json du projet, qui contient un objet managedApiConnections qui inclut les informations de configuration de la connexion pour chaque connecteur managé utilisé dans un flux de travail. Ces informations de connexion incluent des pointeurs vers l’ID de ressource de la connexion, ainsi que les propriétés de l’identité managée comme l’ID de ressource si l’identité affectée par l’utilisateur est activée.

Cet exemple montre la configuration de l’objet managedApiConnections lorsque l’application logique active l’identité affectée par le système :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Cet exemple montre la configuration de l’objet managedApiConnections lorsque l’application logique active l’identité affectée par l’utilisateur :

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Les exemples suivants s’appliquent aux ressources d’application logique de Consommation et montrent comment la définition de ressource de connecteur sous-jacente diffère entre un connecteur à authentification unique et un connecteur à authentification multiple.

Authentification unique

Cet exemple illustre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge un seul type d’authentification et utilise une identité managée dans un flux de travail d’application logique de Consommation où la définition inclut les attributs suivants :

• La propriété kind a la valeur V1 pour une application logique Consommation.

• La propriété parameterValueType est définie sur Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Authentification multiple

Cet exemple illustre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge plusieurs types d’authentification et utilise une identité managée dans un flux de travail d’application logique de Consommation où la définition inclut les attributs suivants :

• La propriété kind a la valeur V1 pour une application logique Consommation.

• L’objet parameterValueSet comprend une propriété name définie sur managedIdentityAuth, et une propriété values définie sur un objet vide.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Les exemples suivants s’appliquent aux ressources d’application logique Standard et montrent comment la définition de ressource de connecteur sous-jacente diffère entre un connecteur à authentification unique et un connecteur à authentification multiple.

Authentification unique

Cet exemple illustre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge un seul type d’authentification et utilise une identité managée dans un flux de travail d’application logique Standard où la définition inclut les attributs suivants :

• La propriété kind est définie sur V2 pour une application logique Standard.

• La propriété parameterValueType est définie sur Alternative.

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Authentification multiple

Cet exemple illustre la définition de ressource de connexion sous-jacente pour une action de connecteur qui prend en charge plusieurs types d’authentification et utilise une identité managée dans un flux de travail d’application logique Standard où la définition inclut les attributs suivants :

• La propriété kind est définie sur V2 pour une application logique Standard.

• L’objet parameterValueSet comprend une propriété name définie sur managedIdentityAuth, et une propriété values définie sur un objet vide.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Dans la définition de la ressource Microsoft.Web/connections suivante, veillez à ajouter une stratégie d’accès qui spécifie une définition de ressource pour chaque connexion d’API et fournissez les informations suivantes :

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Pour plus d’informations, consultez Microsoft.Web/connections/accesspolicies (modèle ARM).