使用 Azure 逻辑应用中的托管标识对 Azure 资源的访问和连接进行身份验证

对于消耗逻辑应用工作流，下表列出了支持托管标识身份验证的连接器示例：

对于标准逻辑应用工作流，下表列出了支持托管标识身份验证的连接器示例：

在消耗逻辑应用资源上，必须手动启用系统分配的标识。

1. 在 Azure 门户中，打开你的消耗逻辑应用资源。

2. 在逻辑应用菜单的“设置”下，选择“标识” 。

3. 在“标识”页的“系统分配的”下，选择“开”>“保存”。 当 Azure 提示你进行确认时，选择“是”。

   

   注意

   如果收到一个错误，指出你只能有一个托管标识，则表明逻辑应用资源已与用户分配的标识相关联。 在添加系统分配的标识之前，必须先从逻辑应用资源中删除用户分配的标识。

   逻辑应用资源现在可以使用系统分配的标识。 此标识已注册到 Microsoft Entra ID，通过对象 ID 表示。

   

   属性	价值	说明
   对象（主体） ID	<identity-resource-ID>	全局唯一标识符 (GUID)，表示 Microsoft Entra 租户中逻辑应用的系统分配的标识。

4. 现在，请执行本指南后面的为系统分配的标识授予对资源的访问权限的步骤。

在标准逻辑应用资源上，系统分配的标识会自动启用。 如果需要启用标识，请执行以下步骤：

1. 在 Azure 门户中，打开你的标准逻辑应用资源。

2. 在逻辑应用菜单的“设置”下，选择“标识” 。

3. 在“标识”页的“系统分配的”下，选择“开”>“保存”。 当 Azure 提示你进行确认时，选择“是”。

   

   现在，逻辑应用资源可以使用这一系统分配的标识，该标识已注册到 Microsoft Entra ID，通过对象 ID 表示。

   

   属性	价值	说明
   对象（主体） ID	<identity-resource-ID>	全局唯一标识符 (GUID)，表示 Microsoft Entra 租户中逻辑应用的系统分配的标识。

4. 现在，请执行本指南后面的为该标识授予对资源的访问权限的步骤。

{
   "apiVersion": "2016-06-01",
   "type": "Microsoft.logic/workflows",
   "name": "[variables('logicappName')]",
   "location": "[resourceGroup().location]",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

{
   "apiVersion": "2021-01-15",
   "type": "Microsoft.Web/sites",
   "name": "[variables('sites_<logic-app-resource-name>_name')]",
   "location": "[resourceGroup().location]",
   "kind": "functionapp,workflowapp",
   "identity": {
      "type": "SystemAssigned"
   },
   "properties": {},
   <...>
}

1. 在 Azure 门户中，打开你的消耗逻辑应用资源。

2. 在逻辑应用菜单的“设置”下，选择“标识” 。

3. 在“标识”页上，选择“用户分配”，然后选择“添加”。

   

4. 在“添加用户分配的托管标识”窗格上，请执行以下步骤：

   1. 从“选择订阅”列表中选择你的 Azure 订阅。

   2. 从具有你的订阅中的所有托管标识的列表中，选择所需的用户分配的标识。 若要筛选列表，请在“用户分配的托管标识”搜索框中输入标识或资源组的名称。

      

   3. 完成后，选择“添加”。

      注意

      如果你收到一个错误，指出你只能有一个托管标识，则表明逻辑应用已与系统分配的标识相关联。 在添加用户分配的标识之前，必须先禁用系统分配的标识。

   你的逻辑应用现已与用户分配的标识相关联。

   

5. 现在，请执行本指南后面的为标识授予对资源的访问权限的步骤。

1. 在 Azure 门户中，打开你的标准逻辑应用资源。

2. 在逻辑应用菜单的“设置”下，选择“标识” 。

3. 在“标识”页上，选择“用户分配”，然后选择“添加”。

   

4. 在“添加用户分配的托管标识”窗格上，请执行以下步骤：

   1. 从“选择订阅”列表中选择你的 Azure 订阅。

   2. 从具有你的订阅中的所有托管标识的列表中，选择所需的用户分配的标识。 若要筛选列表，请在“用户分配的托管标识”搜索框中输入标识或资源组的名称。

      

   3. 完成后，选择“添加”。

      你的逻辑应用现已与用户分配的标识相关联。

      

   4. 若要拥有多个用户分配的标识，请重复同样的步骤，添加这些标识。

5. 现在，请执行本指南后面的为标识授予对资源的访问权限的步骤。

此示例显示了具有非参数化 identity 对象的 HTTP PUT 请求的消耗逻辑应用资源和工作流定义。 对 PUT 请求和后续的 GET 操作的响应还包含此 identity 对象：

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": []
      },
   ],
   "outputs": {}
}

如果模板还包括托管标识的资源定义，则可以将 identity 对象参数化。 以下示例显示了子 userAssignedIdentities 对象如何引用在模板“变量”部分中定义的 userAssignedIdentityName 变量。 此变量引用用户分配的标识的资源 ID。

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "Template_LogicAppName": {
         "type": "string"
      },
      "Template_UserAssignedIdentityName": {
         "type": "securestring"
      }
   },
   "variables": {
      "logicAppName": "[parameters(`Template_LogicAppName')]",
      "userAssignedIdentityName": "[parameters('Template_UserAssignedIdentityName')]"
   },
   "resources": [
      {
         "apiVersion": "2016-06-01",
         "type": "Microsoft.logic/workflows",
         "name": "[variables('logicAppName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "definition": {<logic-app-workflow-definition>}
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      }
  ]
}

标准逻辑应用资源可同时启用和定义系统分配的标识和多个用户分配的标识。 标准逻辑应用资源定义基于 Azure Functions 函数应用资源定义。

此示例显示了一个包含非参数化 identity 对象的标准逻辑应用资源和工作流定义：

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "/subscriptions/<Azure-subscription-ID>/resourceGroups/<Azure-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<user-assigned-identity-name>": {}
            },
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": []
      }
   ],
   "outputs": {}
}

如果模板还包括托管标识的资源定义，则可以将 identity 对象参数化。 以下示例显示了子 userAssignedIdentities 对象如何引用在模板“变量”部分中定义的 userAssignedIdentityName 变量。 此变量引用用户分配的标识的资源 ID。

{
   "$schema": "https://schema.management.azure.com/schemas/2019-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {<template-parameters>},
   "resources": [
      {
         "apiVersion": "2021-02-01",
         "type": "Microsoft.Web/sites/functions",
         "name": "[variables('logicappName')]",
         "location": "[resourceGroup().location]",
         "identity": {
            "type": "UserAssigned",
            "userAssignedIdentities": {
               "[resourceId(Microsoft.ManagedIdentity/userAssignedIdentities', variables('userAssignedIdentityName'))]": {}
            }
         },
         "properties": {
            "name": "[variables('appName')]",
            "serverFarmId": "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "hostingEnvironment": "",
            "clientAffinityEnabled": false,
            "alwaysOn": true
         },
         "parameters": {},
         "dependsOn": [
            "[resourceId('Microsoft.Web/serverfarms', variables('hostingPlanName'))]",
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities/', variables('userAssignedIdentityName'))]"
         ]
      },
      {
         "apiVersion": "2018-11-30",
         "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
         "name": "[parameters('Template_UserAssignedIdentityName')]",
         "location": "[resourceGroup().location]",
         "properties": {}
      },
   ],
   "outputs": {}
}

当模板创建逻辑应用资源时，identity 对象包括以下属性：

"identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
        "<resource-ID>": {
            "principalId": "<principal-ID>",
            "clientId": "<client-ID>"
        }
    }
}

principalId 属性值是用于 Microsoft Entra 管理的标识的唯一标识符。 clientId 属性值是逻辑应用的新标识的唯一标识符，用于指定在运行时调用期间要使用的标识。 有关 Azure Functions 的 Azure 资源管理器模板和托管标识的详细信息，请参阅以下文档：

• ARM 模板 - Azure Functions

• 使用 Azure Functions 的 ARM 模板添加用户分配的标识。

1. 在 Azure 门户中，打开你的消耗逻辑应用资源。

2. 如果尚未这样做，请添加支持托管标识的触发器或操作。

   注意

   并非所有连接器操作都支持你添加身份验证类型。 有关详细信息，请参阅支持身份验证的触发器和操作的身份验证类型。

3. 在添加的触发器或操作上，执行以下步骤：

   • 支持托管标识身份验证的内置连接器操作

     这些步骤将继续使用 HTTP 操作作为示例。

     1. 如果“身份验证”属性尚未出现，则在“高级参数”列表中添加该属性。

        

        现在，“身份验证”属性和“身份验证类型”列表都显示在操作上。

        

     2. 从“身份验证类型”列表中选择“托管标识”。

        

        “身份验证”部分现在显示以下选项：

        • “托管标识”列表，可以从中选择特定的托管标识

        • “受众”属性显示在特定的触发器和操作上，以便为 Azure 目标资源或服务设置资源 ID。 否则，默认情况下，“受众”属性使用 https://management.chinacloudapi.cn/ 资源 ID，该 ID 是 Azure 资源管理器的资源 ID。

     3. 从“托管标识”列表中，选择要使用的标识，例如：

        

        注意

        默认选中的选项是“系统分配的托管标识”（即使未启用任何托管标识）。

        要成功使用某个托管标识，必须先在逻辑应用上启用该标识。 在消耗逻辑应用中，可以拥有系统分配的托管标识或用户分配的托管标识，但不能同时拥有二者。

     有关详细信息，请参阅示例：使用托管标识对内置触发器或操作进行身份验证。

   • 支持托管标识身份验证的托管连接器操作

     1. 在“创建连接”窗格的“身份验证”列表中，选择“托管标识”，例如：

        

     2. 在下一个窗格中，对于“连接名称”，为连接提供一个名称。

     3. 对于身份验证类型，根据托管连接器选择下列选项之一：

        • 单一身份验证：这些连接器仅支持一种身份验证类型，在本例中，即仅支持托管标识。

          1. 从“托管标识”列表中，选择当前已启用的托管标识。

          2. 准备就绪后，选择“新建”。

        • 多重身份验证：这些连接器支持多种身份验证类型，但一次只能选择和使用一种类型。

          以下步骤将继续使用 Azure Blob 存储操作作为示例。

          1. 从“身份验证类型”列表中选择“逻辑应用托管标识”。

             

          2. 准备就绪后，选择“新建”。

        有关详细信息，请参阅示例：使用托管标识对托管连接器触发器或操作进行身份验证。

1. 在 Azure 门户中，打开你的标准逻辑应用资源。

2. 如果尚未这样做，请添加支持托管标识的触发器或操作。

   注意

   并非所有触发器和操作支持都允许你添加身份验证类型。 有关详细信息，请参阅支持身份验证的触发器和操作的身份验证类型。

3. 在添加的触发器或操作上，执行以下步骤：

   • 支持托管标识身份验证的内置操作

     这些步骤将继续使用 HTTP 操作作为示例。

     1. 如果“身份验证”属性尚未出现，则在“高级参数”列表中添加该属性。

        

        现在，“身份验证”属性和“身份验证类型”列表都显示在操作上。

        

     2. 从“身份验证类型”列表中选择“托管标识”。

        

        “身份验证”部分现在显示以下选项：

        • “托管标识”列表，可以从中选择特定的托管标识

        • “受众”属性显示在特定的触发器和操作上，以便为 Azure 目标资源或服务设置资源 ID。 否则，默认情况下，“受众”属性使用 https://management.chinacloudapi.cn/ 资源 ID，该 ID 是 Azure 资源管理器的资源 ID。

        

     3. 从“托管标识”列表中，选择要使用的标识，例如：

        

        注意

        默认选中的选项是“系统分配的托管标识”（即使未启用任何托管标识）。

        要成功使用某个托管标识，必须先在逻辑应用上启用该标识。 在标准逻辑应用中，可以同时定义和启用系统分配的托管标识和用户分配的托管标识。 但是，逻辑应用一次只能使用一个托管标识。

        例如，访问不同 Azure 服务总线消息传送实体的工作流应仅使用一个托管标识。 请参阅从工作流连接到 Azure 服务总线。

     有关详细信息，请参阅示例：使用托管标识对内置触发器或操作进行身份验证。

   • 支持托管标识身份验证的托管连接器操作

     1. 在“创建连接”窗格的“身份验证”列表中，选择“托管标识”，例如：

        

     2. 在下一个窗格中，对于“连接名称”，为连接提供一个名称。

     3. 对于身份验证类型，根据托管连接器选择下列选项之一：

        • 单一身份验证：这些连接器仅支持一种身份验证类型，在本例中，即仅支持托管标识。

          1. 从“托管标识”列表中，选择当前已启用的托管标识。

          2. 准备就绪后，选择“新建”。

        • 多重身份验证：这些连接器支持多种身份验证类型，但一次只能选择和使用一种类型。

          以下步骤将继续使用 Azure Blob 存储操作作为示例。

          1. 从“身份验证类型”列表中选择“逻辑应用托管标识”。

             

          2. 从“托管标识”列表中，选择要使用的标识。

             

          3. 准备就绪后，选择“新建”。

        有关详细信息，请参阅示例：使用托管标识对托管连接器触发器或操作进行身份验证。

1. 在工作流设计器上，添加所需的任何触发器，然后添加 HTTP 操作。

   以下示例演示了一个示例 HTTP 操作，其中包含用于快照 Blob 操作的所有先前描述的属性值：

   

2. 在 HTTP 操作中，添加“身份验证”属性。 从“高级参数”列表中选择“身份验证”。

   

   “身份验证”部分现在显示在 HTTP 操作中。

   注意

   并非所有触发器和操作支持都允许你添加身份验证类型。 有关详细信息，请参阅支持身份验证的触发器和操作的身份验证类型。

3. 从“身份验证类型”列表中选择“托管标识”。

   

4. 从“托管标识”列表中，根据你的场景从可用选项中进行选择。

   • 如果设置了系统分配的标识，请选择“系统分配的托管标识”。

     

   • 如果设置了用户分配的标识，请选择该标识。

     

   此示例将继续处理“系统分配的托管标识”。

5. 在某些触发器和操作上，“受众”属性会显示，以便为目标 Azure 资源或服务设置资源 ID。

   例如，若要对全局 Azure 云中密钥保管库资源的访问权限进行身份验证，则必须将“受众”属性具体设置为以下资源 ID：https://vault.azure.cn

   如果不设置“受众”属性，默认情况下，“受众”属性使用 https://management.chinacloudapi.cn/ 资源 ID，这是 Azure 资源管理器的资源 ID。

   重要

   请确保该目标资源 ID 完全匹配 Microsoft Entra ID 所需的值。 否则，你可能会收到 400 Bad Request 错误或 401 Unauthorized 错误。 因此，如果资源 ID 包含任何尾随斜杠，请确保将它们包含在内。 如果不包含尾随斜杠，则不要包含在内。

   例如，所有 Azure Blob 存储帐户的资源 ID 都需要尾部反斜杠。 但是，特定存储帐户的资源 ID 不需要尾部反斜杠。 请查看支持 Microsoft Entra ID 的 Azure 服务的资源 ID。

   此示例将“受众”属性设置为 https://storage.azure.com/，以便用于身份验证的访问令牌对所有存储帐户都有效。 但是，还可以为特定存储帐户指定根服务 URL https://<your-storage-account>.blob.core.chinacloudapi.cn。

   

   有关使用适用于 Azure 存储的 Microsoft Entra ID 授权访问的详细信息，请参阅以下文档：

   • 使用 Microsoft Entra ID 授予对 Azure Blob 和队列的访问权限

   • 通过 OAuth 授予对 Azure 存储的访问权限

6. 继续按照所需方式生成工作流。

1. 在工作流设计器上，添加所需的任何触发器，然后添加 HTTP 操作。

   以下示例演示了一个示例 HTTP 操作，其中包含用于快照 Blob 操作的所有先前描述的属性值：

   

2. 在 HTTP 操作中，添加“身份验证”属性。 从“高级参数”列表中选择“身份验证”。

   

   “身份验证”部分现在显示在 HTTP 操作中。

   注意

   并非所有触发器和操作支持都允许你添加身份验证类型。 有关详细信息，请参阅支持身份验证的触发器和操作的身份验证类型。

3. 从“身份验证类型”列表选择“托管标识”。

   

4. 从“托管标识”列表中，根据你的场景从可用选项中进行选择。

   • 如果设置了系统分配的标识，请选择“系统分配的托管标识”。

     

   • 如果设置了用户分配的标识，请选择该标识。

     

   此示例将继续处理“系统分配的托管标识”。

5. 在某些触发器和操作上，“受众”属性会显示，以便为目标 Azure 资源或服务设置资源 ID。

   例如，若要对全局 Azure 云中密钥保管库资源的访问权限进行身份验证，则必须将“受众”属性具体设置为以下资源 ID：https://vault.azure.cn

   如果不设置“受众”属性，默认情况下，“受众”属性使用 https://management.chinacloudapi.cn/ 资源 ID，这是 Azure 资源管理器的资源 ID。

   重要

   请确保该目标资源 ID 完全匹配 Microsoft Entra ID 所需的值。 否则，你可能会收到 400 Bad Request 错误或 401 Unauthorized 错误。 因此，如果资源 ID 包含任何尾随斜杠，请确保将它们包含在内。 如果不包含尾随斜杠，则不要包含在内。

   例如，所有 Azure Blob 存储帐户的资源 ID 都需要尾部反斜杠。 但是，特定存储帐户的资源 ID 不需要尾部反斜杠。 请查看支持 Microsoft Entra ID 的 Azure 服务的资源 ID。

   此示例将“受众”属性设置为 https://storage.azure.com/，以便用于身份验证的访问令牌对所有存储帐户都有效。 但是，还可以为特定存储帐户指定根服务 URL https://<your-storage-account>.blob.core.chinacloudapi.cn。

   

   有关使用适用于 Azure 存储的 Microsoft Entra ID 授权访问的详细信息，请参阅以下文档：

   • 使用 Microsoft Entra ID 授予对 Azure Blob 和队列的访问权限

   • 通过 OAuth 授予对 Azure 存储的访问权限

6. 继续按照所需方式生成工作流。

1. 在工作流设计器上，添加名为“读取资源”的 Azure 资源管理器操作。

2. 在“创建连接”窗格的“身份验证”列表中选择“托管标识”，然后选择“登录”。

   注意

   在其他连接器中，“身份验证类型”列表会显示“逻辑应用托管标识”，因此请选择此选项。

   

3. 为连接提供一个名称，然后选择要使用的托管标识。

   如果你启用了系统分配的标识，“托管标识”列表将自动选择“系统分配的托管标识”。 反之，如果你启用了用户分配的标识，该列表会自动选择用户分配的标识。

   在本例中，“系统分配的托管标识”是唯一可用的选择。

   

   注意

   如果在尝试创建或更改连接时未启用托管标识，或者在已启用托管标识的连接仍然存在时移除了托管标识，你会遇到一个错误，指出必须启用标识并授予对目标资源的访问权限。

4. 准备就绪后，选择“新建”。

5. 设计器成功创建连接后，设计器可使用托管标识身份验证获取任何动态值、内容或架构。

6. 继续按照所需方式生成工作流。

1. 在工作流设计器上，添加名为“读取资源”的 Azure 资源管理器操作。

2. 在“创建连接”窗格的“身份验证”列表中选择“托管标识”，然后选择“登录”。

   注意

   在其他连接器中，“身份验证类型”列表会显示“逻辑应用托管标识”，因此请选择此选项。

   

3. 为连接提供一个名称，然后选择要使用的托管标识。

   默认情况下，标准逻辑应用资源会自动启用系统分配的标识。 因此，“托管标识”列表将自动选择“系统分配的托管标识”。 如果同时还启用了一个或多个用户分配的标识，则“托管标识”列表会显示当前已启用的所有托管标识，例如：

   

   注意

   如果在尝试创建或更改连接时未启用托管标识，或者在已启用托管标识的连接仍然存在时移除了托管标识，你会遇到一个错误，指出必须启用标识并授予对目标资源的访问权限。

4. 准备就绪后，选择“新建”。

5. 设计器成功创建连接后，设计器可使用托管标识身份验证获取任何动态值、内容或架构。

6. 继续按照所需方式生成工作流。

在消耗逻辑应用资源中，此连接配置保存在资源定义的 parameters 对象中，该对象包含 $connections 对象，后者包含指向连接的资源 ID 以及启用用户分配的标识时托管标识的资源 ID 的指针。

此示例显示了逻辑应用启用系统分配的标识时的 parameters 对象配置：

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

此示例显示了逻辑应用启用用户分配的托管标识时的 parameters 对象配置：

"parameters": {
   "$connections": {
      "value": {
         "<action-name>": {
            "connectionId": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>",
            "connectionName": "<connector-name>",
            "connectionProperties": {
               "authentication": {
                  "type": "ManagedServiceIdentity",
                  "identity": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/microsoft.managedidentity/userassignedidentities/<managed-identity-name>"
               }
            },
            "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<managed-connector-type>"
         }
      }
   }
}

在标准逻辑应用资源中，连接配置保存在逻辑应用资源或项目的 connections.json 文件中，其中包含一个 managedApiConnections 对象，该对象包含工作流中使用的每个托管连接器的连接配置信息。 此连接信息包含指向连接的资源 ID 以及托管标识属性（例如启用用户分配的标识时的资源 ID）的指针。

此示例显示了逻辑应用启用系统分配的标识时的 managedApiConnections 对象配置：

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity"
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

此示例显示了逻辑应用启用用户分配的标识时的 managedApiConnections 对象配置：

{
    "managedApiConnections": {
        "<connector-name>": {
            "api": {
                "id": "/subscriptions/<Azure-subscription-ID>/providers/Microsoft.Web/locations/<Azure-region>/managedApis/<connector-name>"
            },
            "authentication": { // Authentication for the internal token store
                "type": "ManagedServiceIdentity"
            },
            "connection": {
                "id": "/subscriptions/<Azure-subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.Web/connections/<connector-name>"
            },
            "connectionProperties": {
                "authentication": { // Authentication for the target resource
                    "audience": "<resource-URL>",
                    "type": "ManagedServiceIdentity",
                    "identity": "<user-assigned-identity>" // Optional
                }
            },
            "connectionRuntimeUrl": "<connection-runtime-URL>"
        }
    }
}

以下示例适用于消耗逻辑应用资源，显示了基础连接器资源定义在单一身份验证连接器和多重身份验证连接器之间的差异。

单一身份验证

此示例显示了在消耗逻辑应用工作流中仅支持一种身份验证类型并使用托管标识的连接器操作的基础连接资源定义，其中定义包括以下属性：

• 消耗逻辑应用的 kind 属性设置为 V1。

• parameterValueType 属性设置为 Alternative。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureautomation')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

多种身份验证

此示例显示了在消耗逻辑应用工作流中支持多种身份验证类型并使用托管标识的连接器操作的基础连接资源定义，其中定义包括以下属性：

• 消耗逻辑应用的 kind 属性设置为 V1。

• parameterValueSet 对象包括一个设置为 managedIdentityAuth 的 name 属性和一个设置为空对象的 values 属性。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V1",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), 'azureblob')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

以下示例适用于标准逻辑应用资源，显示了基础连接器资源定义在单一身份验证连接器和多重身份验证连接器之间的差异。

单一身份验证

此示例显示了在标准逻辑应用工作流中仅支持一种身份验证类型并使用托管标识的连接器操作的基础连接资源定义，其中定义包括以下属性：

• 标准逻辑应用的 kind 属性设置为 V2。

• parameterValueType 属性设置为 Alternative。

{
    "type": "Microsoft.Web/connections",
    "name": "[variables('connections_<connector-name>_name')]",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues": {},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet": {},
        "parameterValueType": "Alternative"
    }
},

多种身份验证

此示例显示了在标准逻辑应用工作流中支持多种身份验证类型并使用托管标识的连接器操作的基础连接资源定义，其中定义包括以下属性：

• 标准逻辑应用的 kind 属性设置为 V2。

• parameterValueSet 对象包括一个设置为 managedIdentityAuth 的 name 属性和一个设置为空对象的 values 属性。

{
    "type": "Microsoft.Web/connections",
    "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
    "name": "[variables('connections_<connector-name>_name')]",
    "location": "[parameters('location')]",
    "kind": "V2",
    "properties": {
        "alternativeParameterValues":{},
        "api": {
            "id": "[subscriptionResourceId('Microsoft.Web/locations/managedApis', parameters('location'), '<connector-name>')]"
        },
        "authenticatedUser": {},
        "connectionState": "Enabled",
        "customParameterValues": {},
        "displayName": "[variables('connections_<connector-name>_name')]",
        "parameterValueSet":{
            "name": "managedIdentityAuth",
            "values": {}
        },
        "parameterValueType": "Alternative"
    }
}

在后续的 Microsoft.Web/连接资源定义中，请确保添加一个访问策略，为每个 API 连接指定一个资源定义，并提供以下信息：

{
   "type": "Microsoft.Web/connections/accessPolicies",
   "apiVersion": "[providers('Microsoft.Web','connections').apiVersions[0]]",
   "name": "[concat('<connector-name>','/','<object-ID>')]",
   "location": "<location>",
   "dependsOn": [
      "[resourceId('Microsoft.Web/connections', parameters('<connector-name>'))]"
   ],
   "properties": {
      "principal": {
         "type": "ActiveDirectory",
         "identity": {
            "objectId": "<object-ID>",
            "tenantId": "<tenant-ID>"
         }
      }
   }
}

有关详细信息，请参阅 Microsoft.Web/connections/accesspolicies（ARM 模板）。