Autenticare l'accesso e le connessioni alle risorse di Azure con identità gestite in App per la logica di Azure

Per un flusso di lavoro dell'app per la logica A consumo, nella tabella seguente sono elencati i connettori di esempio che supportano l'autenticazione dell'identità gestita:

Per un flusso di lavoro dell'app per la logica Standard, nella tabella seguente sono elencati i connettori di esempio che supportano l'autenticazione dell'identità gestita:

In una risorsa dell'app per la logica A consumo è necessario abilitare manualmente l'identità assegnata dal sistema.

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Nel menu dell'app per la logica, in Impostazioni, selezionare Identità.

3. Nella pagina Identità in Assegnata dal sistema selezionare On>Salva. Quando Azure chiede di confermare, selezionare Sì.

   

   Nota

   Se viene visualizzato un errore che indica che è possibile avere una sola identità gestita, la risorsa dell'app per la logica è già associata all'identità assegnata dall'utente. Per poter aggiungere l'identità assegnata dal sistema, è necessario prima rimuovere l'identità assegnata dall'utente dalla risorsa dell'app per la logica.

   La risorsa dell'app per la logica può ora usare l'identità assegnata dal sistema. Questa identità viene registrata con Microsoft Entra ID ed è rappresentata da un ID oggetto.

   

   Proprietà	valore	Descrizione
   ID oggetto (entità di sicurezza)	<identity-resource-ID>	Un identificatore univoco globale (GUID) che rappresenta l'identità assegnata dal sistema per l'app per la logica in un tenant di Microsoft Entra.

4. Seguire ora i passaggi che consentono all'identità assegnata dal sistema di accedere alla risorsa più avanti in questa guida.

In una risorsa dell'app per la logica Standard, l'identità assegnata dal sistema viene abilitata automaticamente. Se è necessario abilitare l'identità, seguire questa procedura:

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Nel menu dell'app per la logica, in Impostazioni, selezionare Identità.

3. Nella pagina Identità in Assegnata dal sistema selezionare On>Salva. Quando Azure chiede di confermare, selezionare Sì.

   

   La risorsa dell'app per la logica può ora usare l'identità assegnata dal sistema, registrata con Microsoft Entra ID e rappresentata da un ID oggetto.

   

   Proprietà	valore	Descrizione
   ID oggetto (entità di sicurezza)	<identity-resource-ID>	Un identificatore univoco globale (GUID) che rappresenta l'identità assegnata dal sistema per l'app per la logica in un tenant di Microsoft Entra.

4. A questo punto, seguire la procedura che consente di assegnare all'identità l'accesso alla risorsa descritta più avanti in questa guida.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Nel menu dell'app per la logica, in Impostazioni, selezionare Identità.

3. Nella pagina Identità selezionare Assegnata dall'utente quindi selezionare Aggiungi.

   

4. Nel riquadro Aggiungi identità gestita assegnata dall'utente seguire questa procedura:

   1. Nell'elenco Selezionare una sottoscrizione selezionare la sottoscrizione di Azure.

   2. Nell'elenco contenente tutte le identità gestite nella sottoscrizione, selezionare l'identità assegnata dall'utente desiderata. Per filtrare l'elenco, nella casella di ricerca Identità gestite assegnate dall'utente immettere il nome per l'identità o il gruppo di risorse.

      

   3. Al termine, selezionare Aggiungi.

      Nota

      Se viene visualizzato un errore che indica che è possibile avere una sola identità gestita, l'app per la logica è già associata all'identità assegnata dal sistema. Per poter aggiungere l'identità assegnata dall'utente, è necessario prima disabilitare l'identità assegnata dal sistema.

   L'app per la logica è ora associata all'identità assegnata dall'utente.

   

5. A questo punto, seguire la procedura che consente di assegnare all'identità l'accesso alla risorsa descritta più avanti in questa guida.

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Nel menu dell'app per la logica, in Impostazioni, selezionare Identità.

3. Nella pagina Identità selezionare Assegnata dall'utente quindi selezionare Aggiungi.

   

4. Nel riquadro Aggiungi identità gestita assegnata dall'utente seguire questa procedura:

   1. Nell'elenco Selezionare una sottoscrizione selezionare la sottoscrizione di Azure.

   2. Nell'elenco con tutte le identità gestite nella sottoscrizione selezionare l'identità assegnata dall'utente desiderata. Per filtrare l'elenco, nella casella di ricerca Identità gestite assegnate dall'utente immettere il nome per l'identità o il gruppo di risorse.

      

   3. Al termine, selezionare Aggiungi.

      L'app per la logica è ora associata all'identità assegnata dall'utente.

      

   4. Per avere più identità assegnate dall'utente, ripetere gli stessi passaggi per aggiungere tali identità.

5. A questo punto, seguire la procedura che consente di assegnare all'identità l'accesso alla risorsa descritta più avanti in questa guida.

Questo esempio mostra una risorsa dell'app per la logica A consumo e una definizione del flusso di lavoro per una richiesta HTTP PUT con un oggetto Identità non parametrizzato. La risposta alla richiesta PUT e all'operazione GET successiva include anche questo oggetto Identità:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Se il modello include anche la definizione di risorsa dell'identità gestita, è possibile parametrizzare l'oggetto Identità. Nell'esempio seguente viene illustrato come l'oggetto userAssignedIdentities figlio fa riferimento a una variabile userAssignedIdentityName definita nella sezione variabili del modello. Questa variabile fa riferimento all'ID risorsa per l'identità assegnata dall'utente.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Una risorsa dell'app per la logica Standard può abilitare e avere sia l'identità assegnata dal sistema che più identità assegnate dall'utente definite. La definizione della risorsa dell'app per la logica Standard si basa sulla definizione della risorsa dell'app per le Funzioni di Azure.

Questo esempio mostra una risorsa dell'app per la logica Standard e una definizione del flusso di lavoro che include un oggetto Identità non parametrizzato:

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Se il modello include anche la definizione di risorsa dell'identità gestita, è possibile parametrizzare l'oggetto Identità. Nell'esempio seguente viene illustrato come l'oggetto userAssignedIdentities figlio fa riferimento a una variabile userAssignedIdentityName definita nella sezione variabili del modello. Questa variabile fa riferimento all'ID risorsa per l'identità assegnata dall'utente.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Quando il modello crea una risorsa dell'app per la logica, l'oggetto Identità include le proprietà seguenti:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

Il valore della proprietàprincipalId è un identificatore univoco per l'identità usata per l'amministrazione di Microsoft Entra. Il valore della proprietà clientId è un identificatore univoco per la nuova identità dell'app per la logica, che viene usato per specificare l'identità da usare durante le chiamate di runtime. Per altre informazioni sui modelli di Azure Resource Manager e sulle identità gestite per Funzioni di Azure, vedere la documentazione seguente:

• Modello di ARM - Funzioni di Azure

• Aggiungere un'identità assegnata dall'utente usando un modello di ARM per Funzioni di Azure.

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Se non è ancora stato fatto, aggiungere il trigger o l'azione che supporta le identità gestite.

   Nota

   Non tutte le operazioni del connettore supportano l'aggiunta di un tipo di autenticazione. Per altre informazioni, vedere Tipi di autenticazione per trigger e azioni che supportano l'autenticazione.

3. Nel trigger o nell'azione aggiunta seguire questa procedura:

   • Operazioni predefinite del connettore che supportano l'autenticazione dell'identità gestita

     Questi passaggi continuano usando l'azione HTTP come esempio.

     1. Nell'elenco Parametri avanzati aggiungere la proprietà Autenticazione, se la proprietà non è già visualizzata.

        

        Ora, sia la proprietà Autenticazione che l'elenco Tipo di autenticazione sono visualizzati nell'azione.

        

     2. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

        

        La sezione Autenticazione mostra ora le opzioni seguenti:

        • Elenco di identità gestite in cui è possibile selezionare un'identità gestita specifica

        • La proprietà Destinatari viene visualizzata in trigger e azioni specifici in modo da poter impostare l'ID risorsa per la risorsa o il servizio di destinazione di Azure. In caso contrario, per impostazione predefinita, la proprietà Destinatari usa l'ID risorsa https://management.azure.com/ che è l'ID risorsa per Azure Resource Manager.

     3. Nell'elenco di identità gestite selezionare l'identità da usare, ad esempio:

        

        Nota

        L'opzione predefinita selezionata è l'identità gestita assegnata dal sistema, anche quando non sono abilitate identità gestite.

        Per usare correttamente un'identità gestita, è prima necessario abilitarla nell'app per la logica. In un'app per la logica A consumo è possibile avere l'identità gestita assegnata dal sistema o assegnata dall'utente, ma non entrambe.

     Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione predefinita con un'identità gestita.

   • Operazioni del connettore gestito che supportano l'autenticazione dell'identità gestita

     1. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, ad esempio:

        

     2. Nel riquadro successivo, per Nome connessione, specificare un nome da usare per la connessione.

     3. Per il tipo di autenticazione, scegliere una delle opzioni seguenti in base al connettore gestito:

        • Autenticazione singola: questi connettori supportano un solo tipo di autenticazione, ovvero l'identità gestita in questo caso.

          1. Nell'elenco Identità gestita selezionare l'identità gestita attualmente abilitata.

          2. Al termine, selezionare Crea nuovo.

        • Autenticazione multipla: questi connettori supportano più tipi di autenticazione, ma è possibile selezionare e usare un solo tipo alla volta.

          Questi passaggi continuano usando un'azione di Archiviazione BLOB di Azure come esempio.

          1. Nell'elenco Tipo di autenticazione selezionare Identità gestita di App per la logica.

             

          2. Al termine, selezionare Crea nuovo.

        Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione di connettore gestito con un'identità gestita.

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Se non è ancora stato fatto, aggiungere il trigger o l'azione che supporta le identità gestite.

   Nota

   Non tutti i trigger e le azioni supportano l'aggiunta di un tipo di autenticazione. Per altre informazioni, vedere Tipi di autenticazione per trigger e azioni che supportano l'autenticazione.

3. Nel trigger o nell'azione aggiunta seguire questa procedura:

   • Operazioni predefinite che supportano l'autenticazione dell'identità gestita

     Questi passaggi continuano usando l'azione HTTP come esempio.

     1. Nell'elenco Parametri avanzati aggiungere la proprietà Autenticazione, se la proprietà non è già visualizzata.

        

        Ora, sia la proprietà Autenticazione che l'elenco Tipo di autenticazione sono visualizzati nell'azione.

        

     2. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

        

        La sezione Autenticazione mostra ora le opzioni seguenti:

        • Elenco di identità gestite in cui è possibile selezionare un'identità gestita specifica

        • La proprietà Destinatari viene visualizzata in trigger e azioni specifici in modo da poter impostare l'ID risorsa per la risorsa o il servizio di destinazione di Azure. In caso contrario, per impostazione predefinita, la proprietà Destinatari usa l'ID risorsa https://management.azure.com/ che è l'ID risorsa per Azure Resource Manager.

        

     3. Nell'elenco di identità gestite selezionare l'identità da usare, ad esempio:

        

        Nota

        L'opzione predefinita selezionata è l'identità gestita assegnata dal sistema, anche quando non sono abilitate identità gestite.

        Per usare correttamente un'identità gestita, è prima necessario abilitarla nell'app per la logica. In un'app per la logica Standard è possibile avere sia l'identità gestita assegnata dal sistema che l'identità gestita assegnata dall'utente definita e abilitata. Tuttavia, l'app per la logica deve usare una sola identità gestita alla volta.

        Ad esempio, un flusso di lavoro che accede a diverse entità di messaggistica del Bus di servizio di Azure deve usare una sola identità gestita. Vedere Connettersi al Bus di servizio di Azure da flussi di lavoro.

     Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione predefinita con un'identità gestita.

   • Operazioni del connettore gestito che supportano l'autenticazione dell'identità gestita

     1. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, ad esempio:

        

     2. Nel riquadro successivo, per Nome connessione, specificare un nome da usare per la connessione.

     3. Per il tipo di autenticazione, scegliere una delle opzioni seguenti in base al connettore gestito:

        • Autenticazione singola: questi connettori supportano un solo tipo di autenticazione, ovvero l'identità gestita in questo caso.

          1. Nell'elenco Identità gestita selezionare l'identità gestita attualmente abilitata.

          2. Al termine, selezionare Crea nuovo.

        • Autenticazione multipla: questi connettori supportano più tipi di autenticazione, ma è possibile selezionare e usare un solo tipo alla volta.

          Questi passaggi continuano usando un'azione di Archiviazione BLOB di Azure come esempio.

          1. Nell'elenco Tipo di autenticazione selezionare Identità gestita di App per la logica.

             

          2. Nell'elenco Identità gestita selezionare l'identità da usare.

             

          3. Al termine, selezionare Crea nuovo.

        Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione di connettore gestito con un'identità gestita.

1. Nella finestra di progettazione del flusso di lavoro aggiungere qualsiasi trigger desiderato, quindi aggiungere l'azione HTTP.

   L'esempio seguente mostra un'azione HTTP di esempio con tutti i valori di proprietà descritti in precedenza da usare per l'operazione Snapshot BLOB:

   

2. Nell'azione HTTP, aggiungere ora la proprietà Autenticazione. Nell'elenco Parametri avanzati selezionare Autenticazione.

   

   La sezione Autenticazione viene ora visualizzata nell'azione HTTP.

   Nota

   Non tutti i trigger e le azioni supportano l'aggiunta di un tipo di autenticazione. Per altre informazioni, vedere Tipi di autenticazione per trigger e azioni che supportano l'autenticazione.

3. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

   

4. Nell'elenco delle identità gestite selezionare una delle opzioni disponibili in base allo scenario.

   • Se si configura l'identità assegnata dal sistema, selezionare Identità gestita assegnata dal sistema.

     

   • Se si configura l'identità assegnata dall'utente, selezionare tale identità.

     

   Questo esempio continua con l'Identità gestita assegnata dal sistema.

5. In alcuni trigger e azioni viene visualizzata la proprietà Destinatari in modo che sia possibile impostare l'ID risorsa per la risorsa o il servizio di Azure di destinazione.

   Ad esempio, per autenticare l'accesso a una risorsa di Key Vault nel cloud di Azure globale, è necessario impostare la proprietà Destinatari esattamente sull'ID risorsa seguente: https://vault.azure.net

   Se non si imposta la proprietà Destinatari, per impostazione predefinita questa proprietà usa l'ID risorsa https://management.azure.com/ che è l'ID risorsa per Azure Resource Manager.

   Importante

   Accertarsi che questo ID della risorsa di destinazione corrisponda esattamente al valore previsto da Microsoft Entra ID. In caso contrario, è possibile che venga visualizzato un errore 400 Bad Request o 401 Unauthorized. Pertanto, se l'ID risorsa comprende barre finali, assicurarsi di includerle. In caso contrario, non includerle.

   Ad esempio, l'ID risorsa per tutti gli account di archiviazione BLOB di Azure richiede una barra finale. Tuttavia, l'ID risorsa per un account di archiviazione specifico non richiede una barra finale. Controllare gli ID risorsa per i servizi di Azure che supportano Microsoft Entra ID.

   Questo esempio imposta la proprietà Destinatari su https://storage.azure.com/ in modo che i token di accesso usati per l'autenticazione siano validi per tutti gli account di archiviazione. Tuttavia, è anche possibile specificare l'URL del servizio radice, https://<your-storage-account>.blob.core.windows.net per un account di archiviazione specifico.

   

   Per altre informazioni sull'autorizzazione dell'accesso con Microsoft Entra ID per Archiviazione di Azure, vedere la documentazione seguente:

   • Autorizzare l'accesso a BLOB e code di Azure usando Microsoft Entra ID

   • Autorizzare l'accesso a Archiviazione di Azure con OAuth

6. Continuare a compilare il flusso di lavoro nel modo desiderato.

1. Nella finestra di progettazione del flusso di lavoro aggiungere qualsiasi trigger desiderato, quindi aggiungere l'azione HTTP.

   L'esempio seguente mostra un'azione HTTP di esempio con tutti i valori di proprietà descritti in precedenza da usare per l'operazione Snapshot BLOB:

   

2. Nell'azione HTTP, aggiungere ora la proprietà Autenticazione. Nell'elenco Parametri avanzati selezionare Autenticazione.

   

   La sezione Autenticazione viene ora visualizzata nell'azione HTTP.

   Nota

   Non tutti i trigger e le azioni supportano l'aggiunta di un tipo di autenticazione. Per altre informazioni, vedere Tipi di autenticazione per trigger e azioni che supportano l'autenticazione.

3. Dall'elenco Tipo di autenticazione selezionare Identità gestita.

   

4. Nell'elenco delle identità gestite selezionare una delle opzioni disponibili in base allo scenario.

   • Se si configura l'identità assegnata dal sistema, selezionare Identità gestita assegnata dal sistema.

     

   • Se si configura un'identità assegnata dall'utente, selezionare tale identità.

     

   Questo esempio continua con l'Identità gestita assegnata dal sistema.

5. In alcuni trigger e azioni viene visualizzata la proprietà Destinatari in modo che sia possibile impostare l'ID risorsa per la risorsa o il servizio di Azure di destinazione.

   Ad esempio, per autenticare l'accesso a una risorsa di Key Vault nel cloud di Azure globale, è necessario impostare la proprietà Destinatari esattamente sull'ID risorsa seguente: https://vault.azure.net

   Se non si imposta la proprietà Destinatari, per impostazione predefinita questa proprietà usa l'ID risorsa https://management.azure.com/ che è l'ID risorsa per Azure Resource Manager.

   Importante

   Accertarsi che questo ID della risorsa di destinazione corrisponda esattamente al valore previsto da Microsoft Entra ID. In caso contrario, è possibile che venga visualizzato un errore 400 Bad Request o 401 Unauthorized. Pertanto, se l'ID risorsa comprende barre finali, assicurarsi di includerle. In caso contrario, non includerle.

   Ad esempio, l'ID risorsa per tutti gli account di archiviazione BLOB di Azure richiede una barra finale. Tuttavia, l'ID risorsa per un account di archiviazione specifico non richiede una barra finale. Controllare gli ID risorsa per i servizi di Azure che supportano Microsoft Entra ID.

   Questo esempio imposta la proprietà Destinatari su https://storage.azure.com/ in modo che i token di accesso usati per l'autenticazione siano validi per tutti gli account di archiviazione. Tuttavia, è anche possibile specificare l'URL del servizio radice, https://<your-storage-account>.blob.core.windows.net per un account di archiviazione specifico.

   

   Per altre informazioni sull'autorizzazione dell'accesso con Microsoft Entra ID per Archiviazione di Azure, vedere la documentazione seguente:

   • Autorizzare l'accesso a BLOB e code di Azure usando Microsoft Entra ID

   • Autorizzare l'accesso a Archiviazione di Azure con OAuth

6. Continuare a compilare il flusso di lavoro nel modo desiderato.

1. Nella finestra di progettazione del flusso di lavoro aggiungere l'azione Azure Resource Manager denominata Leggere una risorsa.

2. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, quindi selezionare Accedi.

   Nota

   In altri connettori l'elenco Tipo di autenticazione mostra invece Identità gestita di App per la logica, per cui selezionare questa opzione.

   

3. Specificare un nome per la connessione e selezionare l'identità gestita da usare.

   Se è stata abilitata l'identità assegnata dal sistema, l'elenco Identità gestita seleziona automaticamente l'identità gestita assegnata dal sistema. Se invece è stata abilitata un'identità assegnata dall'utente, l'elenco seleziona automaticamente l'identità assegnata dall'utente.

   In questo esempio, l'identità gestita assegnata dal sistema è l'unica selezione disponibile.

   

   Nota

   Se l'identità gestita non è abilitata quando si tenta di creare o modificare la connessione o se l'identità gestita è stata rimossa mentre è ancora presente una connessione abilitata per la suddetta, viene visualizzato un errore che indica che è necessario abilitare l'identità e concedere l'accesso alla risorsa di destinazione.

4. Al termine, selezionare Crea nuovo.

5. Dopo che la finestra di progettazione ha creato correttamente la connessione, è in grado di recuperare tutti i valori dinamici, il contenuto o lo schema usando l'autenticazione dell'identità gestita.

6. Continuare a compilare il flusso di lavoro nel modo desiderato.

1. Nella finestra di progettazione del flusso di lavoro aggiungere l'azione Azure Resource Manager denominata Leggere una risorsa.

2. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, quindi selezionare Accedi.

   Nota

   In altri connettori l'elenco Tipo di autenticazione mostra invece Identità gestita di App per la logica, per cui selezionare questa opzione.

   

3. Specificare un nome per la connessione e selezionare l'identità gestita da usare.

   Per impostazione predefinita, le risorse dell'app per la logica Standard hanno automaticamente l'identità assegnata dal sistema abilitata. L'elenco Identità gestita seleziona quindi automaticamente l'identità gestita assegnata dal sistema. Se è stata abilitata anche una o più identità assegnate dall'utente, l'elenco Identità gestita mostra tutte le identità gestite attualmente abilitate, ad esempio:

   

   Nota

   Se l'identità gestita non è abilitata quando si tenta di creare o modificare la connessione o se l'identità gestita è stata rimossa mentre è ancora presente una connessione abilitata per la suddetta, viene visualizzato un errore che indica che è necessario abilitare l'identità e concedere l'accesso alla risorsa di destinazione.

4. Al termine, selezionare Crea nuovo.

5. Dopo che la finestra di progettazione ha creato correttamente la connessione, è in grado di recuperare tutti i valori dinamici, il contenuto o lo schema usando l'autenticazione dell'identità gestita.

6. Continuare a compilare il flusso di lavoro nel modo desiderato.

In una risorsa dell'app per la logica A consumo la configurazione della connessione viene salvata nell'oggetto parameters della definizione della risorsa, che contiene l'oggetto $connections che include puntatori all'ID risorsa della connessione insieme all'ID risorsa dell'identità gestita quando l'identità assegnata dall'utente è abilitata.

Questo esempio mostra la configurazione dell'oggetto parameters quando l'app per la logica abilita l'identità assegnata dal sistema:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Questo esempio mostra la configurazione dell'oggetto parameters quando l'app per la logica abilita l'identità gestita assegnata dall'utente:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

In una risorsa dell'app per la logica Standard, la configurazione della connessione viene salvata nella risorsa dell'app per la logica o nel file connections.json del progetto, che contiene un oggetto managedApiConnections che include le informazioni di configurazione della connessione per ogni connettore gestito usato in un flusso di lavoro. Queste informazioni di connessione includono puntatori all'ID risorsa della connessione insieme alle proprietà dell'identità gestita, ad esempio l'ID risorsa quando l'identità assegnata dall'utente è abilitata.

Questo esempio mostra la configurazione dell'oggetto managedApiConnections quando l'app per la logica abilita l'identità assegnata dal sistema:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Questo esempio mostra la configurazione dell'oggetto managedApiConnections quando l'app per la logica abilita l'identità assegnata dall'utente:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Gli esempi seguenti si applicano alle risorse dell'app per la logica A consumo e mostrano come la definizione della risorsa connettore sottostante differisce tra un connettore di autenticazione singola e un connettore con autenticazione multipla.

Autenticazione singola

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione connettore che supporta un solo tipo di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica A consumo in cui la definizione include gli attributi seguenti:

• La proprietà kind è impostata su V1 per un'app per la logica A consumo.

• La proprietà parameterValueType è impostata su Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Autenticazione multipla

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta più tipi di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica A consumo in cui la definizione include gli attributi seguenti:

• La proprietà kind è impostata su V1 per un'app per la logica A consumo.

• L'oggetto parameterValueSet include una proprietà name impostata su managedIdentityAuth e una values impostata su un oggetto vuoto.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Gli esempi seguenti si applicano alle risorse dell'app per la logica Standard e mostrano come la definizione della risorsa connettore sottostante differisce tra un connettore di autenticazione singola e un connettore con autenticazione multipla.

Autenticazione singola

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta un solo tipo di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica Standard in cui la definizione include gli attributi seguenti:

• La proprietà kind è impostata su V2 per un'app per la logica Standard.

• La proprietà parameterValueType è impostata su Alternative.

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Autenticazione multipla

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta più tipi di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica Standard in cui la definizione include gli attributi seguenti:

• La proprietà kind è impostata su V2 per un'app per la logica Standard.

• L'oggetto parameterValueSet include una proprietà name impostata su managedIdentityAuth e una values impostata su un oggetto vuoto.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Nella definizione di risorsa Microsoft.Web/connections successiva assicurarsi di aggiungere un criterio di accesso che specifichi una definizione di risorsa per ogni connessione API e fornire le informazioni seguenti:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Per altre informazioni, vedere Microsoft.Web/connections/accesspolicies (modello di ARM).