Autenticare le connessioni del flusso di lavoro alle risorse di Azure protette usando le identità gestite in App per la logica di Azure

In una risorsa di un'app per la logica A consumo, abilitare manualmente l'identità assegnata dal sistema.

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Nella barra laterale dell'app per la logica, in Impostazioni selezionare Identità.

3. Nella pagina Identità , in Assegnata dal sistema, selezionare Sì e quindi selezionare Salva. Per confermare, selezionare Sì.

   

   La risorsa dell'app per la logica può ora usare l'identità assegnata dal sistema. Questa identità viene registrata con Microsoft Entra ID ed è rappresentata da un ID oggetto.

   

   Proprietà	Valore	Descrizione
   ID oggetto (entità di sicurezza)	< identity-resource-ID>	Un identificatore univoco globale (GUID) che rappresenta l'identità assegnata dal sistema per l'app per la logica in un tenant di Microsoft Entra.

4. Concedere all'identità l'accesso alla risorsa protetta.

In una risorsa dell'app per la logica Standard, l'identità assegnata dal sistema viene abilitata automaticamente. Se è necessario abilitare l'identità, seguire questa procedura:

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Nella barra laterale dell'app per la logica, in Impostazioni selezionare Identità.

3. Nella pagina Identità , in Assegnata dal sistema, selezionare Sì e quindi selezionare Salva. Per confermare, selezionare Sì.

   

   La risorsa dell'app per la logica può ora usare l'identità assegnata dal sistema. Questa identità viene registrata con Microsoft Entra ID ed è rappresentata da un ID oggetto.

   

   Proprietà	Valore	Descrizione
   ID oggetto (entità di sicurezza)	< identity-resource-ID>	Un identificatore univoco globale (GUID) che rappresenta l'identità assegnata dal sistema per l'app per la logica in un tenant di Microsoft Entra.

4. Concedere all'identità l'accesso alla risorsa protetta.

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Nella barra laterale dell'app per la logica, in Impostazioni selezionare Identità.

3. Nella pagina Identità selezionare Assegnata dall'utente quindi selezionare Aggiungi.

   

4. Nel riquadro Aggiungi identità gestita assegnata dall'utente seguire questa procedura:

   1. Nell'elenco Selezionare una sottoscrizione selezionare la sottoscrizione di Azure.

   2. Nell'elenco delle identità gestite selezionare l'identità assegnata dall'utente desiderata.

      Per filtrare l'elenco, nella casella di ricerca Identità gestite assegnate dall'utente immettere il nome per l'identità o il gruppo di risorse, ad esempio:

      

   3. Al termine, selezionare Aggiungi.

   L'app per la logica è ora associata all'identità assegnata dall'utente.

   

5. Concedere all'identità l'accesso alla risorsa protetta.

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Nella barra laterale dell'app per la logica, in Impostazioni selezionare Identità.

3. Nella pagina Identità selezionare Assegnata dall'utente quindi selezionare Aggiungi.

   

4. Nel riquadro Aggiungi identità gestita assegnata dall'utente seguire questa procedura:

   1. Nell'elenco Selezionare una sottoscrizione selezionare la sottoscrizione di Azure.

   2. Nell'elenco delle identità gestite, selezionare la desiderata identità assegnata dall'utente.

      Per filtrare l'elenco, nella casella di ricerca Identità gestite assegnate dall'utente immettere il nome per l'identità o il gruppo di risorse, ad esempio:

      

   3. Al termine, selezionare Aggiungi.

      L'app per la logica è ora associata all'identità assegnata dall'utente.

      

   4. Per aggiungere un'altra identità assegnata dall'utente, ripetere questi passaggi.

5. Concedere all'identità l'accesso alla risorsa protetta.

L'esempio seguente mostra una risorsa dell'app per la logica a consumo e una definizione del flusso di lavoro per una richiesta HTTP PUT con un oggetto non parametrizzato identity . La risposta alla PUT richiesta e all'operazione successiva GET include anche questo identity oggetto .

Una risorsa dell'app per la logica A consumo può abilitare e avere definite sia l'identità assegnata dal sistema che più identità assegnate dall'utente.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

Se il modello include la definizione di risorsa dell'identità gestita, è possibile parametrizzare l'oggetto identity . Nell'esempio seguente viene illustrato come l'oggetto userAssignedIdentities figlio faccia riferimento a una userAssignedIdentityName variabile definita nella sezione variables del modello. Questa variabile fa riferimento all'ID risorsa per l'identità assegnata dall'utente.

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters('Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

L'esempio seguente mostra una risorsa dell'app per la logica standard e una definizione del flusso di lavoro per una richiesta HTTP PUT con un oggetto non parametrizzato identity . La risposta alla PUT richiesta e all'operazione successiva GET include anche questo identity oggetto .

Una risorsa dell'app per la logica Standard può abilitare e avere sia l'identità assegnata dal sistema che più identità assegnate dall'utente definite. La definizione della risorsa dell'app per la logica Standard si basa sulla definizione della risorsa dell'app per le Funzioni di Azure.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

Se il modello include la definizione di risorsa dell'identità gestita, è possibile parametrizzare l'oggetto identity . Nell'esempio seguente viene illustrato come l'oggetto child userAssignedIdentities faccia riferimento a una variabile userAssignedIdentityName che definisci nella sezione del tuo modello variables. Questa variabile fa riferimento all'ID risorsa per l'identità assegnata dall'utente.

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

1. Nel portale di Azure aprire la risorsa dell'app per la logica A consumo.

2. Aggiungi il trigger o l'azione che supporta le identità gestite, se non l'hai già fatto.

3. Nel trigger o nell'azione, seguire questa procedura:

   • Operazioni predefinite

     Questi passaggi usano l'azione HTTP come esempio.

     1. Nell'elenco Parametri avanzati selezionare il parametro Authentication .

        

        Vengono visualizzati sia il parametro Authentication che l'elenco Tipo di autenticazione , ad esempio:

        

     2. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

        

        La sezione Autenticazione mostra ora le opzioni seguenti:

        Parametro	Descrizione
        Identità gestita	Identità gestita da usare.
        Destinatari	Viene visualizzato in trigger e azioni specifici in modo da poter impostare l'ID risorsa per la risorsa o il servizio di destinazione di Azure. Per impostazione predefinita, il parametro Audience usa l'ID https://management.azure.com/ risorsa, ovvero l'ID risorsa per Azure Resource Manager.

     3. Nell'elenco Identità gestita selezionare l'identità desiderata, ad esempio:

        

        Note

        Per impostazione predefinita, l'identità gestita assegnata dal sistema è l'opzione selezionata, anche quando non si abilitano identità gestite. Tuttavia, per usare correttamente l'identità gestita, è prima necessario abilitare tale identità nell'app per la logica. Le app per la logica a consumo non abilitano automaticamente l'identità del sistema a differenza delle app per la logica Standard.

     Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione predefinita con un'identità gestita.

   • Operazioni del connettore gestito

     1. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, ad esempio:

        

     2. Nel riquadro successivo, per Nome connessione, inserire un nome da utilizzare per la connessione.

     3. In base al connettore, scegliere una delle opzioni seguenti:

        • Autenticazione singola: questi connettori supportano un solo tipo di autenticazione, ovvero l'identità gestita in questo caso.

          La procedura seguente usa un'azione risorsa di Azure come esempio:

          1. Nell'elenco Identità gestita selezionare l'identità gestita attualmente abilitata.

          2. Seleziona Crea nuovo.

        • Autenticazione multipla: questi connettori supportano più tipi di autenticazione, ma è possibile selezionare e usare un solo tipo alla volta.

          La procedura seguente usa un'azione di Archiviazione BLOB di Azure come esempio:

          1. Nell'elenco Tipo di autenticazione selezionare Identità gestita di App per la logica.

             

          2. Seleziona Crea nuovo.

          Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione di connettore gestito con un'identità gestita.

1. Nel portale di Azure, aprire la risorsa dell’app per la logica Standard.

2. Aggiungi il trigger o l'azione che supporta le identità gestite, se non è già stato fatto.

3. Nel trigger o nell'azione, seguire questa procedura:

   • Operazioni predefinite

     Questi passaggi usano l'azione HTTP come esempio.

     1. Nell'elenco Parametri avanzati selezionare il parametro Authentication .

        

        Sia il parametro Authentication che l'elenco Tipo di autenticazione vengono visualizzati nell'azione, ad esempio:

        

     2. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

        

        La sezione Autenticazione mostra ora le opzioni seguenti:

        Parametro	Descrizione
        Identità gestita	Identità gestita da usare.
        Destinatari	Viene visualizzato in trigger e azioni specifici in modo da poter impostare l'ID risorsa per la risorsa o il servizio di destinazione di Azure. Per impostazione predefinita, il parametro Audience usa l'ID https://management.azure.com/ risorsa, ovvero l'ID risorsa per Azure Resource Manager.

        

     3. Nell'elenco Identità gestita selezionare l'identità desiderata, ad esempio:

        

        Note

        Per impostazione predefinita, l'identità gestita assegnata dal sistema è l'opzione selezionata, anche quando non si abilitano identità gestite. Per impostazione predefinita, le app per la logica Standard abilitano automaticamente l'identità del sistema. Anche se queste app per la logica possono avere più identità abilitate, possono usare una sola identità alla volta.

        Ad esempio, un flusso di lavoro che accede a entità di messaggistica bus di servizio di Azure diverse deve usare una sola identità gestita. Per altre informazioni, vedere Connettersi al bus di servizio di Azure dai flussi di lavoro.

     Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione predefinita con un'identità gestita.

   • Operazioni del connettore gestito

     1. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita, ad esempio:

        

     2. Nel riquadro successivo, per Nome connessione, immettere un nome da usare per la connessione.

     3. In base al connettore, scegliere una delle opzioni seguenti:

        • Autenticazione singola: questi connettori supportano un solo tipo di autenticazione, ovvero l'identità gestita in questo caso.

          I passaggi seguenti continuano usando un'azione risorsa di Azure come esempio.

          1. Nell'elenco Identità gestita selezionare l'identità gestita attualmente abilitata.

          2. Seleziona Crea nuovo.

        • Autenticazione multipla: questi connettori supportano più tipi di autenticazione, ma è possibile selezionare e usare un solo tipo alla volta.

          La procedura seguente usa un'azione di Archiviazione BLOB di Azure come esempio.

          1. Nell'elenco Tipo di autenticazione selezionare Identità gestita di App per la logica.

             

          2. Nell'elenco Identità gestita selezionare l'identità.

             

          3. Seleziona Crea nuovo.

        Per altre informazioni, vedere Esempio: Autenticare un trigger o un'azione di connettore gestito con un'identità gestita.

1. Nella finestra di progettazione del flusso di lavoro aggiungere qualsiasi trigger desiderato, quindi aggiungere l'azione HTTP.

   L'esempio seguente mostra un'azione HTTP di esempio con tutti i valori di proprietà descritti in precedenza da usare per l'operazione SNAPSHOT BLOB:

   

2. Nell'azione HTTP selezionare Autenticazione nell'elenco Parametri avanzati.

   

   La sezione Autenticazione viene visualizzata nell'azione HTTP .

3. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

   

4. Nell'elenco Identità gestita selezionare tra le opzioni disponibili in base allo scenario.

   • Se si configura l'identità assegnata dal sistema, selezionare Identità gestita assegnata dal sistema.

     

   • Se si configura l'identità assegnata dall'utente, selezionare tale identità.

     

   Questo esempio continua con l'Identità gestita assegnata dal sistema.

5. Alcuni trigger e azioni mostrano il parametro Audience in modo da poter immettere l'ID risorsa per la risorsa o il servizio di Azure di destinazione.

   Ad esempio, per autenticare l'accesso a una risorsa di Key Vault nel cloud di Azure globale, impostare il parametro Audience su esattamente l'ID risorsa seguente: https://vault.azure.net

   In caso contrario, per impostazione predefinita, il parametro Audience usa l'ID https://management.azure.com/ risorsa, ovvero l'ID risorsa per Azure Resource Manager.

   Importante

   L'ID risorsa di destinazione deve corrispondere esattamente al valore previsto dall'ID Microsoft Entra. In caso contrario, è possibile che venga visualizzato un errore 400 Richiesta non valida o un errore 401 Non autorizzato . Se l'ID risorsa prevede barre finali, includerle. In caso contrario, non includerli.

   Ad esempio, l'ID risorsa per tutti gli account di archiviazione BLOB di Azure richiede una barra finale. Tuttavia, l'ID risorsa per un account di archiviazione specifico non richiede una barra finale. Controllare gli ID risorsa per i servizi di Azure che supportano Microsoft Entra ID.

   Nell'esempio seguente il parametro Audience viene impostato su https://storage.azure.com/. Questo valore significa che i token di accesso per l'autenticazione sono validi per tutti gli account di archiviazione. Per un account di archiviazione specifico, specificare l'URL del servizio radice, https://<your-storage-account>.blob.core.windows.net.

   

   Per ulteriori informazioni, vedere:

   • Autorizzare l'accesso a BLOB e code di Azure usando Microsoft Entra ID
   • Autorizzare l'accesso a Archiviazione di Azure con OAuth

6. Continuare a compilare il flusso di lavoro in base allo scenario in uso.

1. Nella finestra di progettazione del flusso di lavoro aggiungere qualsiasi trigger desiderato, quindi aggiungere l'azione HTTP.

   L'esempio seguente mostra un'azione HTTP di esempio con tutti i valori di proprietà descritti in precedenza da usare per l'operazione SNAPSHOT BLOB:

   

2. Nell'azione HTTP selezionare Autenticazione nell'elenco Parametri avanzati.

   

   La sezione Autenticazione viene visualizzata nell'azione HTTP .

3. Nell'elenco Tipo di autenticazione selezionare Identità gestita.

   

4. Nell'elenco Identità gestita selezionare tra le opzioni disponibili in base allo scenario.

   • Se si configura l'identità assegnata dal sistema, selezionare Identità gestita assegnata dal sistema.

     

   • Se si configura un'identità assegnata dall'utente, selezionare tale identità.

     

   Questo esempio continua con l'Identità gestita assegnata dal sistema.

5. Alcuni trigger e azioni mostrano il parametro Audience in modo da poter immettere l'ID risorsa per la risorsa o il servizio di Azure di destinazione.

   Ad esempio, per autenticare l'accesso a una risorsa di Key Vault nel cloud di Azure globale, impostare il parametro Audience su esattamente l'ID risorsa seguente: https://vault.azure.net

   In caso contrario, per impostazione predefinita, il parametro Audience usa l'ID https://management.azure.com/ risorsa, ovvero l'ID risorsa per Azure Resource Manager.

   Importante

   L'ID risorsa di destinazione deve corrispondere esattamente al valore previsto dall'ID Microsoft Entra. In caso contrario, è possibile che venga visualizzato un errore 400 Richiesta non valida o un errore 401 Non autorizzato . Se l'ID risorsa prevede barre finali, includerle. In caso contrario, non includerli.

   Ad esempio, l'ID risorsa per tutti gli account di archiviazione BLOB di Azure richiede una barra finale. Tuttavia, l'ID risorsa per un account di archiviazione specifico non richiede una barra finale. Controllare gli ID risorsa per i servizi di Azure che supportano Microsoft Entra ID.

   Nell'esempio seguente il parametro Audience viene impostato su https://storage.azure.com/. Questo valore significa che i token di accesso per l'autenticazione sono validi per tutti gli account di archiviazione. Per un account di archiviazione specifico, specificare l'URL del servizio radice, https://<your-storage-account>.blob.core.windows.net.

   

   Per ulteriori informazioni, vedere:

   • Autorizzare l'accesso a BLOB e code di Azure usando Microsoft Entra ID
   • Autorizzare l'accesso a Archiviazione di Azure con OAuth

6. Continuare a compilare il flusso di lavoro in base allo scenario in uso.

1. Nella finestra di progettazione del flusso di lavoro aggiungere l'azione Azure Resource Manager denominata Leggere una risorsa.

2. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita e quindi selezionare Accedi.

   Note

   In alcuni connettori, l'elenco Tipo di autenticazione mostra invece Identità gestita delle Logic Apps. Se lo scenario mostra questa opzione, selezionare questa opzione.

   

3. Immettere un nome per la connessione e selezionare l'identità gestita desiderata.

   Se è stata abilitata l'identità assegnata dal sistema, l'elenco Identità gestita seleziona automaticamente l'identità gestita assegnata dal sistema. Se invece è stata abilitata un'identità assegnata dall'utente, l'elenco seleziona automaticamente l'identità assegnata dall'utente.

   In questo esempio, l'identità gestita assegnata dal sistema è l'unica selezione disponibile.

   

   Note

   Se non si abilita l'identità gestita quando si tenta di creare o modificare la connessione o se si rimuove l'identità gestita mentre esiste ancora una connessione abilitata per l'identità gestita, viene visualizzato un errore che indica che è necessario abilitare l'identità e concedere l'accesso alla risorsa di destinazione.

4. Al termine, selezionare Crea nuovo.

   Dopo aver creato la connessione, il designer può recuperare qualsiasi valore dinamico, contenuto o schema tramite l'autenticazione con identità gestita.

5. Continuare a compilare il flusso di lavoro in base allo scenario in uso.

1. Nella finestra di progettazione del flusso di lavoro aggiungere l'azione Azure Resource Manager denominata Leggere una risorsa.

2. Nell'elenco Autenticazione del riquadro Crea connessione selezionare Identità gestita e quindi selezionare Accedi.

   Note

   In alcuni connettori, l'elenco Tipo di autenticazione mostra invece Identità gestita delle Logic Apps. Se lo scenario mostra questa opzione, selezionare questa opzione.

   

3. Immettere un nome per la connessione e selezionare l'identità gestita desiderata.

   Per impostazione predefinita, le risorse dell'app per la logica Standard abilitano automaticamente l'identità assegnata dal sistema. Nell'elenco Identità gestita viene quindi selezionata l'identità gestita assegnata dal sistema . Se è stata abilitata una o più identità assegnate dall'utente, l'elenco mostra tutte le identità gestite attualmente abilitate, ad esempio:

   

   Note

   Se non si abilita l'identità gestita quando si tenta di creare o modificare la connessione o se si rimuove l'identità gestita mentre esiste ancora una connessione abilitata per l'identità gestita, viene visualizzato un errore che indica che è necessario abilitare l'identità e concedere l'accesso alla risorsa di destinazione.

4. Al termine, selezionare Crea nuovo.

   Dopo aver creato la connessione, il designer può recuperare qualsiasi valore dinamico, contenuto o schema tramite l'autenticazione dell'identità gestita.

5. Continuare a compilare il flusso di lavoro in base allo scenario in uso.

In una risorsa dell'app per la logica A consumo, viene salvata la configurazione della connessione nell'oggetto parameters di definizione della risorsa. Questo oggetto contiene l'oggetto $connections che include puntatori all'ID risorsa della connessione insieme all'ID risorsa dell'identità gestita quando si abilita l'identità assegnata dall'utente.

L'esempio seguente mostra l'oggetto parameters quando l'identità assegnata dal sistema è abilitata in un'app per la logica:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

L'esempio seguente mostra l'oggetto parameters quando l'identità gestita assegnata dall'utente è abilitata in un'app per la logica:

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

In una risorsa di app logiche Standard, si salva la configurazione della connessione nel file connections.json della risorsa di app logiche o del progetto. Questo file contiene un managedApiConnections oggetto contenente le informazioni di configurazione della connessione per ogni connettore gestito usato in un flusso di lavoro. Tali informazioni di connessione contengono puntatori all'ID risorsa della connessione insieme alle proprietà dell'identità gestita, ad esempio l'ID risorsa quando l'app per la logica abilita l'identità assegnata dall'utente.

Questo esempio mostra la configurazione dell'oggetto managedApiConnections quando l'app per la logica abilita l'identità assegnata dal sistema:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Questo esempio mostra la configurazione dell'oggetto managedApiConnections quando l'app per la logica abilita l'identità assegnata dall'utente:

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

Gli esempi seguenti si applicano alle risorse dell'app per la logica di consumo. Mostrano in che modo la definizione di risorsa connettore sottostante differisce tra un connettore di autenticazione singola e un connettore multiautenticazione.

Autenticazione singola

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta un solo tipo di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica a consumo. La definizione include gli attributi seguenti:

• La kind proprietà è impostata su V1 per il flusso di lavoro Consumption.

• La proprietà parameterValueType è impostata su Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Più metodi di autenticazione

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta più tipi di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica a consumo. La definizione include gli attributi seguenti:

• La proprietà kind è impostata su V1 per un flusso di lavoro di consumo.

• L'oggetto parameterValueSet include una proprietà name impostata su managedIdentityAuth e una values impostata su un oggetto vuoto.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Gli esempi seguenti si applicano alle risorse dell'app per la logica Standard e mostrano come la definizione della risorsa connettore sottostante differisce tra un connettore di autenticazione singola e un connettore con autenticazione multipla.

Autenticazione singola

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta un solo tipo di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica Standard. La definizione include gli attributi seguenti:

• La kind proprietà è impostata su V2 per un flusso di lavoro Standard.

• La proprietà parameterValueType è impostata su Alternative.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

Più metodi di autenticazione

Questo esempio mostra la definizione di risorsa di connessione sottostante per un'azione del connettore che supporta più tipi di autenticazione e usa un'identità gestita in un flusso di lavoro dell'app per la logica Standard. La definizione include gli attributi seguenti:

• La proprietà kind è impostata su V2 per un'app per la logica Standard.

• L'oggetto parameterValueSet include una proprietà name impostata su managedIdentityAuth e una values impostata su un oggetto vuoto.

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {
            "name": "managedIdentityAuth",
            "values": {}
        }
    }
}

Nella definizione di risorsa successiva Microsoft.Web/connections è necessario aggiungere un criterio di accesso che specifica una definizione di risorsa per ogni connessione API e fornire le informazioni seguenti:

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

Per altre informazioni, vedere Microsoft.Web/connections/accesspolicies (modello di ARM).