Azure Logic Apps でマネージド ID を使用して Azure リソースへのアクセスと接続を認証する

従量課金ロジック アプリ ワークフローについて、次の表に、マネージド ID 認証をサポートするコネクタの例を示します。

Standard ロジック アプリ ワークフローについて、次の表に、マネージド ID 認証をサポートするコネクタの例を示します。

従量課金ロジック アプリ リソースでは、システム割り当て ID を手動で有効にする必要があります。

1. Azure portal で、従量課金ロジック アプリ リソースを開きます。

2. ロジック アプリのメニューの [設定] で、 [ID] を選択します。

3. [ID] ページの [システム割り当て] で、[オン]>[保存] を選びます。 確認を求めるメッセージが表示されたら、 [はい] を選択します。

   

   Note

   マネージド ID を 1 つだけ持つことができるというエラーが表示される場合、ロジック アプリのリソースは既にユーザー割り当て ID に関連付けられています。 システム割り当て ID を追加する前に、まず、ロジック アプリ リソースからユーザー割り当て ID を削除する必要があります。

   これで、ロジック アプリ リソースでシステム割り当て ID を使用できます。 この ID は、Microsoft Entra ID に登録され、オブジェクト ID で表されます。

   

   プロパティ	値	説明
   オブジェクト (プリンシパル) ID	<identity-resource-ID>	Microsoft Entra テナント内のロジック アプリのシステム割り当て ID を表すグローバル一意識別子 (GUID)。

4. 次に、このガイドの後半にある、システム割り当て ID にリソースへのアクセス権を付与する手順に従います。

Standard ロジック アプリ リソースでは、システム割り当て ID が自動的に有効になります。 ID を有効にする必要がある場合は、次の手順に従います。

1. Azure portal で、Standard ロジック アプリ リソースを開きます。

2. ロジック アプリのメニューの [設定] で、 [ID] を選択します。

3. [ID] ページの [システム割り当て] で、[オン]>[保存] を選びます。 確認を求めるメッセージが表示されたら、 [はい] を選択します。

   

   これで、ロジック アプリのリソースでシステム割り当て ID を使用できるようになりました。これは Microsoft Entra ID に登録され、オブジェクト ID で表されます。

   

   プロパティ	値	説明
   オブジェクト (プリンシパル) ID	<identity-resource-ID>	Microsoft Entra テナント内のロジック アプリのシステム割り当て ID を表すグローバル一意識別子 (GUID)。

4. 次に、このガイドの後半にある、ID にリソースへのアクセス権を付与する手順に従います。

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Azure portal で、従量課金ロジック アプリ リソースを開きます。

2. ロジック アプリのメニューの [設定] で、 [ID] を選択します。

3. [ID] ページで、[ユーザー割り当て] を選択し、[追加] を選択します。

   

4. [ユーザー割り当てマネージド ID の追加] ペインで、こちらの手順を実行します。

   1. [サブスクリプションの選択] の一覧から、Azure サブスクリプションを選択します。

   2. そのサブスクリプションのすべてのマネージド ID を示す一覧から、目的のユーザー割り当て ID を選択します。 一覧をフィルター処理するには、 [ユーザー割り当て済みマネージド ID] 検索ボックスに、ID またはリソース グループの名前を入力します。

      

   3. 終了したら、 [追加] を選択します。

      Note

      マネージド ID を 1 つだけ持つことができるというエラーが表示される場合、ロジック アプリは既にシステム割り当て ID に関連付けられています。 ユーザー割り当て ID を追加できるようにするには、まず、システム割り当て ID を無効にする必要があります。

   これで、ロジック アプリがユーザー割り当て ID に関連付けられました。

   

5. 次に、このガイドの後半にある、ID にリソースへのアクセス権を付与する手順に従います。

1. Azure portal で、Standard ロジック アプリ リソースを開きます。

2. ロジック アプリのメニューの [設定] で、 [ID] を選択します。

3. [ID] ページで、[ユーザー割り当て] を選択し、[追加] を選択します。

   

4. [ユーザー割り当てマネージド ID の追加] ペインで、こちらの手順を実行します。

   1. [サブスクリプションの選択] の一覧から、Azure サブスクリプションを選択します。

   2. そのサブスクリプションのすべてのマネージド ID を示す一覧から、目的のユーザー割り当て ID を選びます。 一覧をフィルター処理するには、 [ユーザー割り当て済みマネージド ID] 検索ボックスに、ID またはリソース グループの名前を入力します。

      

   3. 終了したら、 [追加] を選択します。

      これで、ロジック アプリがユーザー割り当て ID に関連付けられました。

      

   4. 複数のユーザー割り当て ID を使用するには、同じ手順を繰り返して ID を追加します。

5. 次に、このガイドの後半にある、ID にリソースへのアクセス権を付与する手順に従います。

この例は、従量課金ロジック アプリ リソース、HTTP PUT 要求のワークフロー定義、パラメーター化されていない identity オブジェクトを示しています。 PUT 要求への応答と後続の GET 操作にも、この identity オブジェクトが含まれています。

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

テンプレートにマネージド ID のリソース定義も含まれている場合は、identity オブジェクトをパラメーター化できます。 次の例は、子 userAssignedIdentities オブジェクトが、テンプレートの variables セクションで定義した userAssignedIdentityName 変数を参照する方法を示しています。 この変数は、ユーザー割り当て ID のリソース ID を参照しています。

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Standard ロジック アプリ リソースでは、システム割り当て ID と複数のユーザー割り当て ID の両方を有効にして定義できます。 Standard ロジック アプリのリソース定義は、Azure Functions 関数アプリのリソース定義に基づいています。

この例は、Standard ロジック アプリ リソースと、パラメーター化されていない identity オブジェクトを含むワークフロー定義を示しています。

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

テンプレートにマネージド ID のリソース定義も含まれている場合は、identity オブジェクトをパラメーター化できます。 次の例は、子 userAssignedIdentities オブジェクトが、テンプレートの variables セクションで定義した userAssignedIdentityName 変数を参照する方法を示しています。 この変数は、ユーザー割り当て ID のリソース ID を参照しています。

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

テンプレートでロジック アプリ リソースが作成されると、identity オブジェクトに次のプロパティが含められます。

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

principalId プロパティ値は、Microsoft Entra の管理に使用される ID の一意識別子です。 clientId プロパティ値は、ランタイム呼び出し中に使用される ID を指定するために使用される、ロジック アプリの新しい ID の一意識別子です。 Azure Resource Manager テンプレートと Azure Functions のマネージド ID の詳細については、次のドキュメントを参照してください。

• ARM テンプレート - Azure Functions

• Azure Functions の ARM テンプレートを使用してユーザー割り当て ID を追加する

1. Azure portal で、従量課金ロジック アプリ リソースを開きます。

2. まだ行っていない場合は、マネージド ID がサポートされているトリガーまたはアクションを追加します。

   Note

   すべてのコネクタ操作で認証の種類を追加できるわけではありません。 詳細については、「認証がサポートされているトリガーおよびアクションの認証の種類」を参照してください。

3. 追加したトリガーまたはアクションで、次の手順に従います。

   • マネージド ID 認証をサポートする組み込みコネクタの操作

     これらの手順は、例として HTTP アクションを使用して続けます。

     1. [高度なパラメーター] の一覧で、[認証] プロパティがまだ表示されていない場合はこのプロパティを追加します。

        

        これで、[認証] プロパティと [認証の種類] 一覧の両方がアクションに表示されます。

        

     2. [認証の種類] 一覧から、[マネージド ID] を選択します。

        

        [認証] セクションには、次のオプションが表示されます。

        • 特定のマネージド ID を選択できる [マネージド ID] 一覧

        • 特定のトリガーとアクションに表示される [対象ユーザー] プロパティ。これにより、Azure ターゲット リソースまたはサービスのリソース ID を設定できます。 そうしないと、既定では、[対象ユーザー] プロパティに Azure Resource Manager のリソース ID である https://management.azure.com/ リソース ID が使用されます。

     3. [マネージド ID] 一覧から、使用する ID を選択します。次に例を示します。

        

        Note

        既定で選択されているオプションは、マネージド ID が有効になっていない場合でも、[システム割り当てマネージド ID] です。

        マネージド ID を正常に使用するには、まずロジック アプリでその ID を有効にする必要があります。 従量課金ロジック アプリでは、システム割り当てマネージド ID またはユーザー割り当てマネージド ID のいずれかを使用できますが、両方は使用できません。

     詳細については、「例: マネージド ID を使用して組み込みのトリガーまたはアクションを認証する」を参照してください。

   • マネージド ID 認証をサポートするマネージド コネクタの操作

     1. [接続の作成] ペインの [認証] 一覧で、[マネージド ID] を選択します。次に例を示します。

        

     2. 次のページで、[接続名] に、接続に使用する名前を入力します。

     3. 認証タイプには、マネージド コネクタに基づいて次のいずれかのオプションを選びます。

        • 単一認証: これらのコネクタは、1 つの認証の種類 (この場合はマネージド ID) のみをサポートします。

          1. [マネージド ID] 一覧から、現在有効になっているマネージド ID を選択します。

          2. 準備ができたら、[新規作成] を選択します。

        • 複数認証: これらのコネクタは複数認証タイプをサポートしますが、選択できるのは 1 種類のみです。

          これらの手順は、例として Azure Blob Storage アクションを使用して続けます。

          1. [認証の種類] 一覧から、[Logic Apps マネージド ID] を選択します。

             

          2. 準備ができたら、[新規作成] を選択します。

        詳細については、「例: マネージド ID を使用してマネージド コネクタのトリガーまたはアクションを認証する」を参照してください。

1. Azure portal で、Standard ロジック アプリ リソースを開きます。

2. まだ行っていない場合は、マネージド ID がサポートされているトリガーまたはアクションを追加します。

   Note

   すべてのトリガーとアクションで認証の種類を追加できるわけではありません。 詳細については、「認証がサポートされているトリガーおよびアクションの認証の種類」を参照してください。

3. 追加したトリガーまたはアクションで、次の手順に従います。

   • マネージド ID 認証をサポートする組み込み操作

     これらの手順は、例として HTTP アクションを使用して続けます。

     1. [高度なパラメーター] の一覧で、[認証] プロパティがまだ表示されていない場合はこのプロパティを追加します。

        

        これで、[認証] プロパティと [認証の種類] 一覧の両方がアクションに表示されます。

        

     2. [認証の種類] 一覧から、[マネージド ID] を選択します。

        

        [認証] セクションには、次のオプションが表示されます。

        • 特定のマネージド ID を選択できる [マネージド ID] 一覧

        • 特定のトリガーとアクションに表示される [対象ユーザー] プロパティ。これにより、Azure ターゲット リソースまたはサービスのリソース ID を設定できます。 そうしないと、既定では、[対象ユーザー] プロパティに Azure Resource Manager のリソース ID である https://management.azure.com/ リソース ID が使用されます。

        

     3. [マネージド ID] 一覧から、使用する ID を選択します。次に例を示します。

        

        Note

        既定で選択されているオプションは、マネージド ID が有効になっていない場合でも、[システム割り当てマネージド ID] です。

        マネージド ID を正常に使用するには、まずロジック アプリでその ID を有効にする必要があります。 Standard ロジック アプリでは、システム割り当てマネージド ID とユーザー割り当てマネージド ID の両方を定義して有効にすることができます。 ただし、ロジック アプリで一度に使用できるマネージド ID は 1 つだけです。

        たとえば、さまざまな Azure Service Bus メッセージング エンティティにアクセスするワークフローで使用できるマネージド ID は 1 つだけです。 「ワークフローから Azure Service Bus に接続する」を参照してください。

     詳細については、「例: マネージド ID を使用して組み込みのトリガーまたはアクションを認証する」を参照してください。

   • マネージド ID 認証をサポートするマネージド コネクタの操作

     1. [接続の作成] ペインの [認証] 一覧で、[マネージド ID] を選択します。次に例を示します。

        

     2. 次のページで、[接続名] に、接続に使用する名前を入力します。

     3. 認証タイプには、マネージド コネクタに基づいて次のいずれかのオプションを選びます。

        • 単一認証: これらのコネクタは、1 つの認証の種類 (この場合はマネージド ID) のみをサポートします。

          1. [マネージド ID] 一覧から、現在有効になっているマネージド ID を選択します。

          2. 準備ができたら、[新規作成] を選択します。

        • 複数認証: これらのコネクタは複数認証タイプをサポートしますが、選択できるのは 1 種類のみです。

          これらの手順は、例として Azure Blob Storage アクションを使用して続けます。

          1. [認証の種類] 一覧から、[Logic Apps マネージド ID] を選択します。

             

          2. [マネージド ID] リストから、使用するIDを選択します。

             

          3. 準備ができたら、[新規作成] を選択します。

        詳細については、「例: マネージド ID を使用してマネージド コネクタのトリガーまたはアクションを認証する」を参照してください。

1. ワークフロー デザイナーで必要なトリガーを追加し、HTTP アクションを追加します。

   次の例では、BLOB のスナップショット操作に使用する、前述のすべてのプロパティ値を使用したサンプル HTTP アクションを示します。

   

2. HTTP アクションに Authentication プロパティを追加します。 [高度なパラメーター] 一覧から [認証] を選択します。

   

   HTTP アクションに [認証] セクションが表示されます。

   Note

   すべてのトリガーとアクションで認証の種類を追加できるわけではありません。 詳細については、「認証がサポートされているトリガーおよびアクションの認証の種類」を参照してください。

3. [認証の種類] 一覧から、[マネージド ID] を選択します。

   

4. [マネージド ID] の一覧から、シナリオに基づいて使用可能なオプションを選択します。

   • システム割り当て ID を設定した場合は、[システム割り当てマネージド ID] を選択します。

     

   • ユーザー割り当て ID を設定する場合は、その ID を選択します。

     

   この例では、 [システム割り当てマネージド ID] を使用して先に進みます。

5. 一部のトリガーとアクションでは、[対象ユーザー] プロパティが表示されます。これにより、対象の Azure リソースまたはサービスのリソース ID を設定できます。

   たとえば、グローバル Azure クラウド内の Key Vault リソースへのアクセスを認証するには、[対象ユーザー] プロパティをリソース ID https://vault.azure.net とまったく同じように設定する必要があります。

   [対象ユーザー] プロパティを設定しないと、既定では、[対象ユーザー] プロパティが Azure Resource Manager のリソース ID である https://management.azure.com/ リソース ID を使用します。

   重要

   ターゲット リソース ID は、Microsoft Entra ID が想定する値と正確に一致するようにしてください。 そうしないと、400 Bad Request エラーまたは 401 Unauthorized エラーが発生する可能性があります。 つまり、リソース ID の末尾にスラッシュがある場合は、必ずそれも含めてください。 そうでない場合は含めないでください。

   たとえば、すべての Azure Blob Storage アカウントのリソース ID には、末尾のスラッシュが必要です。 ただし、特定のストレージ アカウントのリソース ID については、末尾のスラッシュは必要ありません。 Microsoft Entra ID をサポートしている Azure サービスのリソース ID に関する記事をご覧ください。

   この例では、[対象ユーザー] プロパティを https://storage.azure.com/ に設定して、認証に使用されるアクセス トークンをすべてのストレージ アカウントに対して有効にしています。 ただし、特定のストレージ アカウントに対してルート サービス URL (https://<your-storage-account>.blob.core.windows.net) を指定することもできます。

   

   Azure Storage の Microsoft Entra ID を使用してアクセスを承認する方法の詳細については、次のドキュメントを参照してください。

   • Microsoft Entra ID を使用して Azure BLOB とキューへのアクセスを承認する

   • OAuth を使用して Azure Storage へのアクセスを承認する

6. 必要な方法でワークフローの構築を続行します。

1. ワークフロー デザイナーで必要なトリガーを追加し、HTTP アクションを追加します。

   次の例では、BLOB のスナップショット操作に使用する、前述のすべてのプロパティ値を使用したサンプル HTTP アクションを示します。

   

2. HTTP アクションに Authentication プロパティを追加します。 [高度なパラメーター] 一覧から [認証] を選択します。

   

   HTTP アクションに [認証] セクションが表示されます。

   Note

   すべてのトリガーとアクションで認証の種類を追加できるわけではありません。 詳細については、「認証がサポートされているトリガーおよびアクションの認証の種類」を参照してください。

3. [認証タイプ] 一覧から、[マネージド ID] を選択します。

   

4. [マネージド ID] の一覧から、シナリオに基づいて使用可能なオプションを選択します。

   • システム割り当て ID を設定した場合は、[システム割り当てマネージド ID] を選択します。

     

   • ユーザー割り当て ID を設定した場合は、その ID を選択します。

     

   この例では、 [システム割り当てマネージド ID] を使用して先に進みます。

5. 一部のトリガーとアクションでは、[対象ユーザー] プロパティが表示されます。これにより、対象の Azure リソースまたはサービスのリソース ID を設定できます。

   たとえば、グローバル Azure クラウド内の Key Vault リソースへのアクセスを認証するには、[対象ユーザー] プロパティをリソース ID https://vault.azure.net とまったく同じように設定する必要があります。

   [対象ユーザー] プロパティを設定しないと、既定では、[対象ユーザー] プロパティが Azure Resource Manager のリソース ID である https://management.azure.com/ リソース ID を使用します。

   重要

   ターゲット リソース ID は、Microsoft Entra ID が想定する値と正確に一致するようにしてください。 そうしないと、400 Bad Request エラーまたは 401 Unauthorized エラーが発生する可能性があります。 つまり、リソース ID の末尾にスラッシュがある場合は、必ずそれも含めてください。 そうでない場合は含めないでください。

   たとえば、すべての Azure Blob Storage アカウントのリソース ID には、末尾のスラッシュが必要です。 ただし、特定のストレージ アカウントのリソース ID については、末尾のスラッシュは必要ありません。 Microsoft Entra ID をサポートしている Azure サービスのリソース ID に関する記事をご覧ください。

   この例では、[対象ユーザー] プロパティを https://storage.azure.com/ に設定して、認証に使用されるアクセス トークンをすべてのストレージ アカウントに対して有効にしています。 ただし、特定のストレージ アカウントに対してルート サービス URL (https://<your-storage-account>.blob.core.windows.net) を指定することもできます。

   

   Azure Storage の Microsoft Entra ID を使用してアクセスを承認する方法の詳細については、次のドキュメントを参照してください。

   • Microsoft Entra ID を使用して Azure BLOB とキューへのアクセスを承認する

   • OAuth を使用して Azure Storage へのアクセスを承認する

6. 必要な方法でワークフローの構築を続行します。

1. ワークフロー デザイナーで、「リソースの読み取り」という名前の Azure Resource Manager アクションを追加します。

2. [接続の作成] ペインで、[認証] 一覧の [マネージド ID] を選択し、[サインイン] を選択します。

   Note

   他のコネクタでは、代わりに [認証の種類] 一覧に [Logic Apps マネージド ID] が表示されるため、このオプションを選択します。

   

3. 接続の名前を指定し、使用するマネージド ID を選択します。

   システム割り当て ID を有効にした場合、[マネージド ID] 一覧では [システム割り当てマネージド ID] 自動的に選ばれます。 代わりにユーザー割り当て ID を有効にした場合は、ユーザー割り当て ID が自動的に選択されます。

   この例では、 [システム割り当てマネージド ID] だけを選ぶことができます。

   

   Note

   接続を作成または変更しようとしたときにマネージド ID が有効でない場合、またはマネージド ID が有効な接続がまだ存在する状態でマネージド ID が削除された場合は、ID を有効にして、ターゲット リソースへのアクセスを許可する必要があると通知するエラーが表示されます。

4. 準備ができたら、[新規作成] を選択します。

5. デザイナーは、接続を正常に作成すると、マネージド ID 認証を使用して動的な値、コンテンツ、またはスキーマをフェッチすることができます。

6. 必要な方法でワークフローの構築を続行します。

1. ワークフロー デザイナーで、「リソースの読み取り」という名前の Azure Resource Manager アクションを追加します。

2. [接続の作成] ペインで、[認証] 一覧の [マネージド ID] を選択し、[サインイン] を選択します。

   Note

   他のコネクタでは、代わりに [認証の種類] 一覧に [Logic Apps マネージド ID] が表示されるため、このオプションを選択します。

   

3. 接続の名前を指定し、使用するマネージド ID を選択します。

   既定では、Standard ロジック アプリ リソースでは、システム割り当て ID が自動的に有効になります。 そのため、[マネージド ID] 一覧では、システム割り当てマネージド ID が自動的に選択されます。 1 つ以上のユーザー割り当て ID も有効にした場合、[マネージド ID] 一覧には、現在有効になっているすべてのマネージド ID が表示されます。次に例を示します。

   

   Note

   接続を作成または変更しようとしたときにマネージド ID が有効でない場合、またはマネージド ID が有効な接続がまだ存在する状態でマネージド ID が削除された場合は、ID を有効にして、ターゲット リソースへのアクセスを許可する必要があると通知するエラーが表示されます。

4. 準備ができたら、[新規作成] を選択します。

5. デザイナーは、接続を正常に作成すると、マネージド ID 認証を使用して動的な値、コンテンツ、またはスキーマをフェッチすることができます。

6. 必要な方法でワークフローの構築を続行します。

従量課金ロジック アプリ リソースでは、接続構成は、リソース定義の parameters オブジェクトに保存されます。これには、$connections オブジェクトが含まれ、この中に、接続のリソース ID へのポインターと、ユーザー割り当て ID が有効になっている場合はそのマネージド ID のリソース ID が入っています。

この例は、ロジック アプリでシステム割り当て ID を有効にした場合の parameters オブジェクト構成を示しています。

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

この例は、ロジック アプリでユーザー割り当てマネージド ID を有効にした場合の parameters オブジェクト構成を示しています。

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Standard ロジック アプリ リソースでは、接続構成がロジック アプリ リソースまたはプロジェクトの connections.json ファイルに保存されます。これには、ワークフローで使用される各マネージド コネクタの接続構成情報を格納した managedApiConnections オブジェクトが含まれています。 ユーザー割り当て ID が有効になっている場合、この接続情報には、リソース ID などのマネージド ID のプロパティと共に、接続のリソース ID へのポインターが含まれます。

この例は、ロジック アプリでシステム割り当て ID を有効にした場合の managedApiConnections オブジェクト構成を示しています。

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

この例は、ロジック アプリでユーザー割り当て ID を有効にした場合の managedApiConnections オブジェクト構成を示しています。

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

次の例は、従量課金ロジック アプリ リソースに適用され、基になるコネクタ リソース定義が、単一認証コネクタと複数認証コネクタとの間でどのように異なるかを示しています。

単一認証

この例は、1 種類の認証のみをサポートし、定義に次の属性を含む従量課金ロジック アプリ ワークフローのマネージド ID を使用する、コネクタ アクションの基になる接続リソース定義を示しています。

• 従量課金ロジック アプリの場合、kind プロパティは V1 に設定されます。

• parameterValueType プロパティが Alternative に設定されている。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

複数認証

この例では、複数の認証の種類をサポートし、定義に次の属性が含まれる従量課金ロジック アプリ ワークフローでマネージド ID を使用する、コネクタ アクションの基になる接続リソース定義を示しています。

• 従量課金ロジック アプリの場合、kind プロパティは V1 に設定されます。

• parameterValueSet オブジェクトには、managedIdentityAuth に設定された name プロパティと、空のオブジェクトに設定された values プロパティが含まれます。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

次の例は、Standard ロジック アプリ リソースに適用され、基になるコネクタ リソース定義が、単一認証コネクタと複数認証コネクタとの間でどのように異なるかを示しています。

単一認証

この例は、1 種類の認証のみをサポートし、定義に次の属性を含む Standard ロジック アプリ ワークフローのマネージド ID を使用する、コネクタ アクションの基になる接続リソース定義を示しています。

• Standard ロジック アプリの場合、kind プロパティは V2 に設定されます。

• parameterValueType プロパティが Alternative に設定されている。

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

複数認証

この例は、複数の認証の種類をサポートし、定義に次の属性を含む Standard ロジック アプリ ワークフローのマネージド ID を使用する、コネクタ アクションの基になる接続リソース定義を示しています。

• Standard ロジック アプリの場合、kind プロパティは V2 に設定されます。

• parameterValueSet オブジェクトには、managedIdentityAuth に設定された name プロパティと、空のオブジェクトに設定された values プロパティが含まれます。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

後続の Microsoft.Web/connections リソース定義で、各 API 接続のリソース定義を指定するアクセス ポリシーを追加し、次の情報を指定していることを確認します。

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

詳細については、Microsoft.Web/connections/accesspolicies (ARM テンプレート) を参照してください。