Autenticar acesso e conexões a recursos do Azure com identidades gerenciadas em Aplicativos Lógicos do Azure

Para um fluxo de trabalho de aplicativo lógico de consumo, a tabela a seguir lista conectores de exemplo que oferecem suporte à autenticação de identidade gerenciada:

Para um fluxo de trabalho de aplicativo lógico padrão, a tabela a seguir lista conectores de exemplo que oferecem suporte à autenticação de identidade gerenciada:

Em um recurso de aplicativo lógico de consumo, você deve habilitar manualmente a identidade atribuída ao sistema.

1. No portal do Azure, abra o recurso do aplicativo Lógica de consumo.

2. No menu do aplicativo lógico, em Configurações, selecione Identidade.

3. Na página Identidade, em Sistema atribuído, selecione Ao>salvar. Quando o Azure solicitar a confirmação, selecione Sim.

   

   Nota

   Se você receber um erro informando que pode ter apenas uma única identidade gerenciada, seu recurso de aplicativo lógico já está associado à identidade atribuída pelo usuário. Antes de adicionar a identidade atribuída pelo sistema, você deve primeiro remover a identidade atribuída pelo usuário do recurso do aplicativo lógico.

   Seu recurso de aplicativo lógico agora pode usar a identidade atribuída ao sistema. Essa identidade é registrada com a ID do Microsoft Entra e é representada por uma ID de objeto.

   

   Property	valor	Description
   ID do objeto (principal)	<identidade-recurso-ID>	Um GUID (Identificador Global Exclusivo) que representa a identidade atribuída pelo sistema para seu aplicativo lógico em um locatário do Microsoft Entra.

4. Agora, siga as etapas que dão à identidade atribuída pelo sistema acesso ao recurso mais adiante neste guia.

Em um recurso de aplicativo lógico padrão, a identidade atribuída ao sistema é habilitada automaticamente. Se você precisar habilitar a identidade, siga estas etapas:

1. No portal do Azure, abra seu recurso de aplicativo lógico padrão.

2. No menu do aplicativo lógico, em Configurações, selecione Identidade.

3. Na página Identidade, em Sistema atribuído, selecione Ao>salvar. Quando o Azure solicitar a confirmação, selecione Sim.

   

   Seu recurso de aplicativo lógico agora pode usar a identidade atribuída ao sistema, que é registrada com a ID do Microsoft Entra e é representada por uma ID de objeto.

   

   Property	valor	Description
   ID do objeto (principal)	<identidade-recurso-ID>	Um GUID (Identificador Global Exclusivo) que representa a identidade atribuída pelo sistema para seu aplicativo lógico em um locatário do Microsoft Entra.

4. Agora, siga as etapas que dão a essa identidade acesso ao recurso mais adiante neste guia.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. No portal do Azure, abra o recurso do aplicativo Lógica de consumo.

2. No menu do aplicativo lógico, em Configurações, selecione Identidade.

3. Na página Identidade, selecione Usuário atribuído e, em seguida, selecione Adicionar.

   

4. No painel Adicionar identidade gerenciada atribuída ao usuário, siga estas etapas:

   1. Na lista Selecione uma assinatura, selecione sua assinatura do Azure.

   2. Na lista que tem todas as identidades gerenciadas em sua assinatura, selecione a identidade atribuída pelo usuário desejada. Para filtrar a lista, na caixa de pesquisa Identidades gerenciadas atribuídas ao usuário, digite o nome da identidade ou do grupo de recursos.

      

   3. Quando terminar, selecione Adicionar.

      Nota

      Se você receber um erro informando que pode ter apenas uma única identidade gerenciada, seu aplicativo lógico já está associado à identidade atribuída pelo sistema. Antes de adicionar a identidade atribuída pelo usuário, você precisa primeiro desabilitar a identidade atribuída pelo sistema.

   Seu aplicativo lógico agora está associado à identidade atribuída pelo usuário.

   

5. Agora, siga as etapas que dão à identidade acesso ao recurso mais adiante neste guia.

1. No portal do Azure, abra seu recurso de aplicativo lógico padrão.

2. No menu do aplicativo lógico, em Configurações, selecione Identidade.

3. Na página Identidade, selecione Usuário atribuído e, em seguida, selecione Adicionar.

   

4. No painel Adicionar identidade gerenciada atribuída ao usuário, siga estas etapas:

   1. Na lista Selecione uma assinatura, selecione sua assinatura do Azure.

   2. Na lista com todas as identidades gerenciadas em sua assinatura, selecione a identidade atribuída pelo usuário desejada. Para filtrar a lista, na caixa de pesquisa Identidades gerenciadas atribuídas ao usuário, digite o nome da identidade ou do grupo de recursos.

      

   3. Quando terminar, selecione Adicionar.

      Seu aplicativo lógico agora está associado à identidade atribuída pelo usuário.

      

   4. Para ter várias identidades atribuídas pelo usuário, repita as mesmas etapas para adicionar essas identidades.

5. Agora, siga as etapas que dão à identidade acesso ao recurso mais adiante neste guia.

Este exemplo mostra um recurso de aplicativo lógico de consumo e uma definição de fluxo de trabalho para uma solicitação HTTP PUT com um objeto de identidade não parametrizado. A resposta à solicitação PUT e a operação GET subsequente também incluem este objeto de identidade :

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Se o modelo também incluir a definição de recurso da identidade gerenciada, você poderá parametrizar o objeto de identidade . O exemplo a seguir mostra como o objeto filho userAssignedIdentities faz referência a uma variável userAssignedIdentityName que você define na seção de variáveis do modelo. Essa variável faz referência ao ID do recurso para sua identidade atribuída pelo usuário.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

Um recurso de aplicativo lógico padrão pode habilitar e ter a identidade atribuída pelo sistema e várias identidades atribuídas pelo usuário definidas. A definição de recurso do aplicativo lógico padrão é baseada na definição de recurso do aplicativo da função Azure Functions.

Este exemplo mostra uma definição de fluxo de trabalho e recurso de aplicativo lógico padrão que inclui um objeto de identidade não parametrizado:

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Se o modelo também incluir a definição de recurso da identidade gerenciada, você poderá parametrizar o objeto de identidade . O exemplo a seguir mostra como o objeto filho userAssignedIdentities faz referência a uma variável userAssignedIdentityName que você define na seção de variáveis do modelo. Essa variável faz referência ao ID do recurso para sua identidade atribuída pelo usuário.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

Quando o modelo cria um recurso de aplicativo lógico, o objeto de identidade inclui as seguintes propriedades:

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

O valor da propriedade principalId é um identificador exclusivo para a identidade usada para a administração do Microsoft Entra. O valor da propriedade clientId é um identificador exclusivo para a nova identidade do aplicativo lógico que é usada para especificar qual identidade usar durante chamadas de tempo de execução. Para obter mais informações sobre modelos do Azure Resource Manager e identidades gerenciadas para o Azure Functions, consulte a seguinte documentação:

• Modelo ARM - Azure Functions

• Adicione uma identidade atribuída pelo usuário usando um modelo ARM para o Azure Functions.

1. No portal do Azure, abra o recurso do aplicativo Lógica de consumo.

2. Se ainda não o fez, adicione o gatilho ou a ação que suporta identidades gerenciadas.

   Nota

   Nem todas as operações do conector oferecem suporte para adicionar um tipo de autenticação. Para obter mais informações, consulte Tipos de autenticação para gatilhos e ações que oferecem suporte à autenticação.

3. No gatilho ou ação que você adicionou, siga estas etapas:

   • Operações de conector integradas que suportam autenticação de identidade gerenciada

     Essas etapas continuam usando a ação HTTP como exemplo.

     1. Na lista Parâmetros avançados, adicione a propriedade Authentication, se a propriedade ainda não aparecer.

        

        Agora, a propriedade Authentication e a lista Authentication Type aparecem na ação.

        

     2. Na lista Tipo de autenticação, selecione Identidade gerenciada.

        

        A seção Autenticação agora mostra as seguintes opções:

        • Uma lista de Identidades Gerenciadas a partir da qual você pode selecionar uma identidade gerenciada específica

        • A propriedade Audience aparece em gatilhos e ações específicos para que você possa definir a ID do recurso ou serviço de destino do Azure. Caso contrário, por padrão, a propriedade Audience usa a ID do https://management.azure.com/ recurso, que é a ID do recurso para o Gerenciador de Recursos do Azure.

     3. Na lista Identidade gerenciada, selecione a identidade que deseja usar, por exemplo:

        

        Nota

        A opção selecionada por padrão é a identidade gerenciada atribuída ao sistema, mesmo quando você não tem nenhuma identidade gerenciada habilitada.

        Para usar com êxito uma identidade gerenciada, você deve primeiro habilitar essa identidade em seu aplicativo lógico. Em um aplicativo de lógica de consumo, você pode ter a identidade gerenciada atribuída ao sistema ou ao usuário, mas não ambas.

     Para obter mais informações, consulte Exemplo: autenticar gatilho ou ação interna com uma identidade gerenciada.

   • Operações de conector gerenciado que suportam autenticação de identidade gerenciada

     1. No painel Criar Conexão, na lista Autenticação, selecione Identidade Gerenciada, por exemplo:

        

     2. No painel seguinte, para Nome da Conexão, forneça um nome a ser usado para a conexão.

     3. Para o tipo de autenticação, escolha uma das seguintes opções com base no conector gerenciado:

        • Autenticação única: esses conectores suportam apenas um tipo de autenticação, que é a identidade gerenciada neste caso.

          1. Na lista Identidade gerenciada, selecione a identidade gerenciada habilitada no momento.

          2. Quando estiver pronto, selecione Criar novo.

        • Multiautenticação: esses conectores suportam vários tipos de autenticação, mas você pode selecionar e usar apenas um tipo de cada vez.

          Essas etapas continuam usando uma ação de Armazenamento de Blob do Azure como exemplo.

          1. Na lista Tipo de autenticação, selecione Identidade gerenciada de aplicativos lógicos.

             

          2. Quando estiver pronto, selecione Criar novo.

        Para obter mais informações, consulte Exemplo: autenticar gatilho ou ação do conector gerenciado com uma identidade gerenciada.

1. No portal do Azure, abra seu recurso de aplicativo lógico padrão.

2. Se ainda não o fez, adicione o gatilho ou a ação que suporta identidades gerenciadas.

   Nota

   Nem todos os gatilhos e ações suportam permitir que você adicione um tipo de autenticação. Para obter mais informações, consulte Tipos de autenticação para gatilhos e ações que oferecem suporte à autenticação.

3. No gatilho ou ação que você adicionou, siga estas etapas:

   • Operações internas que suportam autenticação de identidade gerenciada

     Essas etapas continuam usando a ação HTTP como exemplo.

     1. Na lista Parâmetros avançados, adicione a propriedade Authentication, se a propriedade ainda não aparecer.

        

        Agora, a propriedade Authentication e a lista Authentication Type aparecem na ação.

        

     2. Na lista Tipo de autenticação, selecione Identidade gerenciada.

        

        A seção Autenticação agora mostra as seguintes opções:

        • Uma lista de Identidades Gerenciadas a partir da qual você pode selecionar uma identidade gerenciada específica

        • A propriedade Audience aparece em gatilhos e ações específicos para que você possa definir a ID do recurso ou serviço de destino do Azure. Caso contrário, por padrão, a propriedade Audience usa a ID do https://management.azure.com/ recurso, que é a ID do recurso para o Gerenciador de Recursos do Azure.

        

     3. Na lista Identidade gerenciada, selecione a identidade que deseja usar, por exemplo:

        

        Nota

        A opção selecionada por padrão é a identidade gerenciada atribuída ao sistema, mesmo quando você não tem nenhuma identidade gerenciada habilitada.

        Para usar com êxito uma identidade gerenciada, você deve primeiro habilitar essa identidade em seu aplicativo lógico. Em um aplicativo lógico padrão, você pode ter a identidade gerenciada atribuída ao sistema e ao usuário definida e habilitada. No entanto, seu aplicativo lógico deve usar apenas uma identidade gerenciada de cada vez.

        Por exemplo, um fluxo de trabalho que acessa diferentes entidades de mensagens do Barramento de Serviço do Azure deve usar apenas uma identidade gerenciada. Consulte Conectar-se ao Barramento de Serviço do Azure a partir de fluxos de trabalho.

     Para obter mais informações, consulte Exemplo: autenticar gatilho ou ação interna com uma identidade gerenciada.

   • Operações de conector gerenciado que suportam autenticação de identidade gerenciada

     1. No painel Criar Conexão, na lista Autenticação, selecione Identidade Gerenciada, por exemplo:

        

     2. No painel seguinte, para Nome da Conexão, forneça um nome a ser usado para a conexão.

     3. Para o tipo de autenticação, escolha uma das seguintes opções com base no conector gerenciado:

        • Autenticação única: esses conectores suportam apenas um tipo de autenticação, que é a identidade gerenciada neste caso.

          1. Na lista Identidade gerenciada, selecione a identidade gerenciada habilitada no momento.

          2. Quando estiver pronto, selecione Criar novo.

        • Multiautenticação: esses conectores suportam vários tipos de autenticação, mas você pode selecionar e usar apenas um tipo de cada vez.

          Essas etapas continuam usando uma ação de Armazenamento de Blob do Azure como exemplo.

          1. Na lista Tipo de autenticação, selecione Identidade gerenciada de aplicativos lógicos.

             

          2. Na lista Identidade gerenciada, selecione a identidade que deseja usar.

             

          3. Quando estiver pronto, selecione Criar novo.

        Para obter mais informações, consulte Exemplo: autenticar gatilho ou ação do conector gerenciado com uma identidade gerenciada.

1. No designer de fluxo de trabalho, adicione qualquer gatilho desejado e adicione a ação HTTP .

   O exemplo a seguir mostra uma ação HTTP de exemplo com todos os valores de propriedade descritos anteriormente a serem usados para a operação de Blob de Instantâneo:

   

2. Na ação HTTP, adicione a propriedade Authentication. Na lista Parâmetros avançados , selecione Autenticação.

   

   A seção Autenticação agora aparece na sua ação HTTP .

   Nota

   Nem todos os gatilhos e ações suportam permitir que você adicione um tipo de autenticação. Para obter mais informações, consulte Tipos de autenticação para gatilhos e ações que oferecem suporte à autenticação.

3. Na lista Tipo de autenticação, selecione Identidade gerenciada.

   

4. Na lista Identidade Gerenciada, selecione uma das opções disponíveis com base no seu cenário.

   • Se você configurar a identidade atribuída ao sistema, selecione Identidade gerenciada atribuída ao sistema.

     

   • Se você configurar a identidade atribuída pelo usuário, selecione essa identidade.

     

   Este exemplo continua com a identidade gerenciada atribuída ao sistema.

5. Em alguns gatilhos e ações, a propriedade Audience aparece para que você possa definir a ID do recurso para o recurso ou serviço do Azure de destino.

   Por exemplo, para autenticar o acesso a um recurso do Cofre da Chave na nuvem global do Azure, você deve definir a propriedade Audiência exatamente como a seguinte ID de recurso:https://vault.azure.net

   Se você não definir a propriedade Audience , por padrão, a propriedade Audience usará a ID do https://management.azure.com/ recurso, que é a ID do recurso para o Gerenciador de Recursos do Azure.

   Importante

   Certifique-se de que a ID do recurso de destino corresponde exatamente ao valor esperado pela ID do Microsoft Entra. Caso contrário, você pode receber um 400 Bad Request erro ou um 401 Unauthorized erro. Portanto, se o ID do recurso incluir barras à direita, certifique-se de incluí-las. Caso contrário, não os inclua.

   Por exemplo, a ID do recurso para todas as contas de Armazenamento de Blob do Azure requer uma barra à direita. No entanto, o ID do recurso para uma conta de armazenamento específica não requer uma barra à direita. Verifique as IDs de recurso para os serviços do Azure que suportam a ID do Microsoft Entra.

   Este exemplo define a propriedade Audience para https://storage.azure.com/ que os tokens de acesso usados para autenticação sejam válidos para todas as contas de armazenamento. No entanto, você também pode especificar a URL do serviço raiz, https://<your-storage-account>.blob.core.windows.net, para uma conta de armazenamento específica.

   

   Para obter mais informações sobre como autorizar o acesso com o Microsoft Entra ID para Armazenamento do Azure, consulte a seguinte documentação:

   • Autorizar o acesso a blobs e filas do Azure usando a ID do Microsoft Entra

   • Autorizar o acesso ao Armazenamento do Azure com OAuth

6. Continue criando o fluxo de trabalho da maneira desejada.

1. No designer de fluxo de trabalho, adicione qualquer gatilho desejado e adicione a ação HTTP .

   O exemplo a seguir mostra uma ação HTTP de exemplo com todos os valores de propriedade descritos anteriormente a serem usados para a operação de Blob de Instantâneo:

   

2. Na ação HTTP, adicione a propriedade Authentication. Na lista Parâmetros avançados , selecione Autenticação.

   

   A seção Autenticação agora aparece na sua ação HTTP .

   Nota

   Nem todos os gatilhos e ações suportam permitir que você adicione um tipo de autenticação. Para obter mais informações, consulte Tipos de autenticação para gatilhos e ações que oferecem suporte à autenticação.

3. Na lista Tipo de autenticação , selecione Identidade gerenciada.

   

4. Na lista Identidade Gerenciada, selecione uma das opções disponíveis com base no seu cenário.

   • Se você configurar a identidade atribuída ao sistema, selecione Identidade gerenciada atribuída ao sistema.

     

   • Se você configurar uma identidade atribuída pelo usuário, selecione essa identidade.

     

   Este exemplo continua com a identidade gerenciada atribuída ao sistema.

5. Em alguns gatilhos e ações, a propriedade Audience aparece para que você possa definir a ID do recurso para o recurso ou serviço do Azure de destino.

   Por exemplo, para autenticar o acesso a um recurso do Cofre da Chave na nuvem global do Azure, você deve definir a propriedade Audiência exatamente como a seguinte ID de recurso:https://vault.azure.net

   Se você não definir a propriedade Audience , por padrão, a propriedade Audience usará a ID do https://management.azure.com/ recurso, que é a ID do recurso para o Gerenciador de Recursos do Azure.

   Importante

   Certifique-se de que a ID do recurso de destino corresponde exatamente ao valor esperado pela ID do Microsoft Entra. Caso contrário, você pode receber um 400 Bad Request erro ou um 401 Unauthorized erro. Portanto, se o ID do recurso incluir barras à direita, certifique-se de incluí-las. Caso contrário, não os inclua.

   Por exemplo, a ID do recurso para todas as contas de Armazenamento de Blob do Azure requer uma barra à direita. No entanto, o ID do recurso para uma conta de armazenamento específica não requer uma barra à direita. Verifique as IDs de recurso para os serviços do Azure que suportam a ID do Microsoft Entra.

   Este exemplo define a propriedade Audience para https://storage.azure.com/ que os tokens de acesso usados para autenticação sejam válidos para todas as contas de armazenamento. No entanto, você também pode especificar a URL do serviço raiz, https://<your-storage-account>.blob.core.windows.net, para uma conta de armazenamento específica.

   

   Para obter mais informações sobre como autorizar o acesso com o Microsoft Entra ID para Armazenamento do Azure, consulte a seguinte documentação:

   • Autorizar o acesso a blobs e filas do Azure usando a ID do Microsoft Entra

   • Autorizar o acesso ao Armazenamento do Azure com OAuth

6. Continue criando o fluxo de trabalho da maneira desejada.

1. No designer de fluxo de trabalho, adicione a ação do Azure Resource Manager chamada Ler um recurso.

2. No painel Criar Ligação, na lista Autenticação, selecione Identidade Gerida e, em seguida, selecione Iniciar sessão.

   Nota

   Em outros conectores, a lista Tipo de Autenticação mostra a Identidade Gerenciada de Aplicativos Lógicos, portanto, selecione esta opção.

   

3. Forneça um nome para a conexão e selecione a identidade gerenciada que você deseja usar.

   Se você habilitou a identidade atribuída ao sistema, a lista Identidade gerenciada selecionará automaticamente a identidade gerenciada atribuída ao sistema. Se, em vez disso, você tiver habilitado uma identidade atribuída pelo usuário, a lista selecionará automaticamente a identidade atribuída pelo usuário.

   Neste exemplo, a identidade gerenciada atribuída ao sistema é a única seleção disponível.

   

   Nota

   Se a identidade gerenciada não estiver habilitada quando você tentar criar ou alterar a conexão, ou se a identidade gerenciada tiver sido removida enquanto uma conexão habilitada para identidade gerenciada ainda existir, você receberá um erro dizendo que você deve habilitar a identidade e conceder acesso ao recurso de destino.

4. Quando estiver pronto, selecione Criar novo.

5. Depois que o designer cria a conexão com êxito, ele pode buscar quaisquer valores dinâmicos, conteúdo ou esquema usando a autenticação de identidade gerenciada.

6. Continue criando o fluxo de trabalho da maneira desejada.

1. No designer de fluxo de trabalho, adicione a ação do Azure Resource Manager chamada Ler um recurso.

2. No painel Criar Ligação, na lista Autenticação, selecione Identidade Gerida e, em seguida, selecione Iniciar sessão.

   Nota

   Em outros conectores, a lista Tipo de Autenticação mostra a Identidade Gerenciada de Aplicativos Lógicos, portanto, selecione esta opção.

   

3. Forneça um nome para a conexão e selecione a identidade gerenciada que você deseja usar.

   Por padrão, os recursos do aplicativo lógico padrão têm automaticamente a identidade atribuída ao sistema habilitada. Assim, a lista Identidade gerenciada seleciona automaticamente a identidade gerenciada atribuída ao sistema. Se você também habilitou uma ou mais identidades atribuídas pelo usuário, a lista Identidade gerenciada mostra todas as identidades gerenciadas habilitadas no momento, por exemplo:

   

   Nota

   Se a identidade gerenciada não estiver habilitada quando você tentar criar ou alterar a conexão, ou se a identidade gerenciada tiver sido removida enquanto uma conexão habilitada para identidade gerenciada ainda existir, você receberá um erro dizendo que você deve habilitar a identidade e conceder acesso ao recurso de destino.

4. Quando estiver pronto, selecione Criar novo.

5. Depois que o designer cria a conexão com êxito, ele pode buscar quaisquer valores dinâmicos, conteúdo ou esquema usando a autenticação de identidade gerenciada.

6. Continue criando o fluxo de trabalho da maneira desejada.

Em um recurso de aplicativo lógico de consumo, a configuração de conexão é salva no objeto da definição de parameters recurso, que contém o $connections objeto que inclui ponteiros para a ID de recurso da conexão junto com a ID de recurso da identidade gerenciada quando a identidade atribuída pelo usuário está habilitada.

Este exemplo mostra a configuração do parameters objeto quando o aplicativo lógico habilita a identidade atribuída ao sistema:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Este exemplo mostra a configuração do parameters objeto quando o aplicativo lógico habilita a identidade gerenciada atribuída pelo usuário:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

Em um recurso de aplicativo lógico padrão, a configuração de conexão é salva no recurso do aplicativo lógico ou no arquivo do connections.json projeto, que contém um managedApiConnections objeto que inclui informações de configuração de conexão para cada conector gerenciado usado em um fluxo de trabalho. Essas informações de conexão incluem ponteiros para o ID do recurso da conexão junto com as propriedades da identidade gerenciada, como a ID do recurso quando a identidade atribuída pelo usuário está habilitada.

Este exemplo mostra a configuração do managedApiConnections objeto quando o aplicativo lógico habilita a identidade atribuída ao sistema:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Este exemplo mostra a configuração do managedApiConnections objeto quando o aplicativo lógico habilita a identidade atribuída pelo usuário:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Os exemplos a seguir se aplicam aos recursos do aplicativo lógico de consumo e mostram como a definição de recurso do conector subjacente difere entre um conector de autenticação única e um conector de multiautenticação.

Autenticação única

Este exemplo mostra a definição de recurso de conexão subjacente para uma ação de conector que suporta apenas um tipo de autenticação e usa uma identidade gerenciada em um fluxo de trabalho de aplicativo lógico de consumo onde a definição inclui os seguintes atributos:

• A kind propriedade é definida como V1 para um aplicativo lógico de consumo.

• A propriedade parameterValueType está definida como Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Multi-autenticação

Este exemplo mostra a definição de recurso de conexão subjacente para uma ação de conector que oferece suporte a vários tipos de autenticação e usa uma identidade gerenciada em um fluxo de trabalho de aplicativo lógico de consumo, onde a definição inclui os seguintes atributos:

• A kind propriedade é definida como V1 para um aplicativo lógico de consumo.

• O parameterValueSet objeto inclui uma name propriedade definida como managedIdentityAuth e uma values propriedade definida como um objeto vazio.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Os exemplos a seguir se aplicam aos recursos do aplicativo lógico padrão e mostram como a definição de recurso do conector subjacente difere entre um conector de autenticação única e um conector de multiautenticação.

Autenticação única

Este exemplo mostra a definição de recurso de conexão subjacente para uma ação de conector que suporta apenas um tipo de autenticação e usa uma identidade gerenciada em um fluxo de trabalho de aplicativo lógico padrão onde a definição inclui os seguintes atributos:

• A kind propriedade é definida como V2 para um aplicativo lógico padrão.

• A propriedade parameterValueType está definida como Alternative.

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Multi-autenticação

Este exemplo mostra a definição de recurso de conexão subjacente para uma ação de conector que oferece suporte a vários tipos de autenticação e usa uma identidade gerenciada em um fluxo de trabalho de aplicativo lógico padrão onde a definição inclui os seguintes atributos:

• A kind propriedade é definida como V2 para um aplicativo lógico padrão.

• O parameterValueSet objeto inclui uma name propriedade definida como managedIdentityAuth e uma values propriedade definida como um objeto vazio.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

Na definição de recurso Microsoft.Web/connections subsequente, certifique-se de adicionar uma política de acesso que especifique uma definição de recurso para cada conexão de API e forneça as seguintes informações:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Para obter mais informações, consulte Microsoft.Web/connections/accesspolicies (modelo ARM).