在 Azure Logic Apps 中保護工作流程的存取和資料

Azure Logic Apps 使用 Azure 儲存體 儲存並自動加密靜態資料。 這種加密透過 Microsoft 管理的金鑰保護您的資料，幫助您達成組織的安全與合規承諾。 如需詳細資訊，請參閱待用資料的 Azure 儲存體加密。

本指南說明如何在 Azure Logic Apps 的以下主要領域進一步保護與保護敏感資料：

有關 Azure 全域安全性的資訊，請參見：

• Azure 加密概覽。
• Azure Data Encryption-at-Rest.
• Microsoft 雲端安全基準測試。

使用 Azure RBAC 保護對邏輯應用程式作業的存取

在 Azure 中，角色型存取控制（RBAC）可控制誰能存取資源，以及可對資源執行哪些操作。 在其他人建立或管理邏輯應用程式、工作流程和連線之前，你需要先指派他們一個提供必要權限的角色。 你可以設定權限，讓只有特定使用者或群組能執行特定任務，例如管理、編輯和查看邏輯應用程式。 為了控制他們的權限，請將內建或自訂的角色分配給有權限存取你 Azure 訂閱的成員。

Azure Logic Apps 會依您使用的是 Consumption 或 Standard 類型的工作流程，而有下列特定角色：

取用工作流程

舉例來說，假設你需要處理一個你沒建立的邏輯應用程式工作流程，並驗證該邏輯應用程式工作流程所使用的連線。 您的 Azure 訂用帳戶需要包含該邏輯應用程式資源的資源群組參與者權限。 如果你建立一個 Logic App 資源，你就會自動擁有 貢獻者 權限。

為了防止他人更改或刪除你的邏輯應用程式工作流程，請使用 Azure 資源鎖定。 這項功能可防止其他人變更或刪除生產資源。 如需連線安全性的詳細資訊，請參閱 Azure Logic Apps 中的連線組態和連線安全性與加密。

標準工作流程

存取工作流程執行歷史

在工作流程執行期間，所有資料在 傳輸過程中 會透過傳輸層安全（TLS）加密，且 在靜態中進行加密。 當邏輯應用程式執行完成時，您可以檢視本次執行的歷程記錄，包括已執行的步驟，以及每個動作的狀態、持續時間、輸入和輸出。 這項豐富的詳細資料可讓您深入解析邏輯應用程式的執行情形，而且對於任何發生的問題，可讓您知道從何處開始進行疑難排解。

當您檢視邏輯應用程式的執行歷程記錄時，Azure Logic Apps 會驗證您的存取，然後針對每次執行的要求和回應，提供連結指向輸入和輸出。 不過，如果動作處理任何密碼、秘密、金鑰或其他敏感性資訊，建議您防止其他人檢視和存取該資料。 例如，如果邏輯應用程式從 Azure Key Vault 取得祕密來用於驗證 HTTP 動作，建議您隱藏該秘密。

要控制工作流程執行歷史中的輸入與輸出存取，請使用以下選項：

• 依 IP 位址範圍限制存取。

  此選項協助您根據來自特定 IP 位址範圍的要求，以保護對執行歷程記錄的存取。

• 使用混淆來保護執行歷程記錄中的資料。

  在許多觸發程序和動作中，您可以保護邏輯應用程式執行歷程記錄中的輸入、輸出或兩者。

依 IP 位址範圍限制存取

您可以限制存取邏輯應用程式工作流程執行歷程記錄中的輸入和輸出，使得只有來自特定 IP 位址範圍的要求才能檢視該資料。

例如，若要阻止任何人存取輸入和輸出，請指定像 0.0.0.0-0.0.0.0 這樣的 IP 位址範圍。 只有具備管理員權限的人才能移除此限制，其提供「及時」存取邏輯應用程式工作流程中資料的機會。 有效的 IP 範圍使用以下格式：x.x.x.x/x 或 x.x.x.x-x.x.x.x.x。

若要指定允許的 IP 範圍，請在 Azure 入口網站或 Azure Resource Manager 範本中針對您的取用或標準邏輯應用程式執行下列步驟：

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {<workflow-definition>},
            "parameters": {},
            "accessControl": {
               "contents": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     },
                     {
                        "addressRange": "2001:0db8::/64"
                     }
                  ]
               }
            }
         }
      }
   ],
   "outputs": {}
}

{
   "type": "Microsoft.Web/sites/config",
   "apiVersion": "2022-09-01",
   "name": "[concat(parameters('sites_My_Standard_Logic_App_name'), '/web')]",
   "location": "West US",
   "dependsOn": [
      "[resourceId('Microsoft.Web/sites', parameters('sites_My_Standard_Logic_App_name'))]"
   ],
   "tags": {
      "hidden-link: /app-insights-resource-id": "/subscriptions/{subscriptionID}/resourceGroups/Standard-RG/providers/Microsoft.Insights/components/My-Standard-Logic-App"
   },
   "properties": {
      "numberOfWorkers": 1,
      "defaultDocuments": [
         "Default.htm",
         "Default.html",
         "Default.asp",
         "index.htm",
         "index.html",
         "iisstart.htm",
         "default.aspx",
         "index.php"
      ],
      "netFrameworkVersion": "v6.0",
      "requestTracingEnabled": false,
      "remoteDebuggingEnabled": false,
      "httpLoggingEnabled": false,
      "acrUseManagedIdentityCreds": false,
      "logsDirectorySizeLimit": 35,
      "detailedErrorLoggingEnabled": false,
      "publishingUsername": "$My-Standard-Logic-App",
      "scmType": "None",
      "use32BitWorkerProcess": false,
      "webSocketsEnabled": false,
      "alwaysOn": false,
      "managedPipelineMode": "Integrated",
      "virtualApplications": [
         {
            "virtualPath": "/",
            "physicalPath": "site\\wwwroot",
            "preloadEnabled": false
         }
      ],
      "loadBalancing": "LeastRequests",
      "experiments": {
         "rampUpRules": []
      },
      "autoHealEnabled": false,
      "vnetRouteAllEnabled": false,
      "vnetPrivatePortsCount": 0,
      "publicNetworkAccess": "Enabled",
      "cors": {
         "supportCredentials": false
      },
      "localMySqlEnabled": false,
      "managedServiceIdentityId": 3065,
      "ipSecurityRestrictions": [
         {
            "ipAddress": "208.130.0.0/16",
            "action": "Deny",
            "tag": "Default",
            "priority": 100,
            "name": "Ports"
         },
         {
            "ipAddress": "Any",
            "action": "Deny",
            "priority": 2147483647,
            "name": "Deny all",
            "description": "Deny all access"
         }
      ],
      "ipSecurityRestrictionsDefaultAction": "Deny",
      "scmIpSecurityRestrictions": [
         {
            "ipAddress": "Any",
            "action": "Allow",
            "priority": 2147483647,
            "name": "Allow all",
            "description": "Allow all access"
         }
      ],
      "scmIpSecurityRestrictionsDefaultAction": "Allow",
      "scmIpSecurityRestrictionsUseMain": false,
      "http20Enabled": false,
      "minTlsVersion": "1.2",
      "scmMinTlsVersion": "1.2",
      "ftpsState": "FtpsOnly",
      "preWarmedInstanceCount": 1,
      "functionAppScaleLimit": 0,
      "functionsRuntimeScaleMonitoringEnabled": true,
      "minimumElasticInstanceCount": 1,
      "azureStorageAccounts": {}
   }
},

使用混淆來保護執行歷程記錄中的資料

許多觸發程序和動作都有設定，可保護來自邏輯應用程式執行歷程記錄的輸入、輸出或兩者。 所有受控連接器和自訂連接器都支援這些選項。 不過，下列內建作業不支援下列選項：

保護輸入和輸出安全性的考量

使用這些設定來協助您保護此資料之前，請檢閱這些考量事項：

• 當您遮蔽觸發程序或動作的輸入或輸出時，Azure Logic Apps 不會將受保護的資料傳送至 Azure Log Analytics。 此外，您無法將追蹤的屬性新增至該觸發程序或動作來監視。

• 用於處理工作流程歷程記錄的 Azure Logic Apps API 不會傳回受保護的輸出。

• 若要保護動作的輸出，但該動作已遮蔽輸入或明確遮蔽輸出，請在該動作中手動開啟 [保護輸出]。

• 在您預期執行歷程記錄會遮蔽該資料的下游動作中，請務必開啟 [保護輸入] 或 [保護輸出]。

  保護輸出設定

  當您在觸發程序或動作中手動開啟 [保護輸出] 時，Azure Logic Apps 會在執行歷程記錄中隱藏這些輸出。 如果下游動作明確使用這些受保護的輸出作為輸入，Azure Logic Apps 會在執行歷程記錄中隱藏此動作的輸入，但「不會啟用」動作的 [保護輸入] 設定。

  

  Compose、Parse JSON和Response動作只有Secure Inputs設定。 此設定開啟時也會隱藏這些動作的輸出。 如果這些動作明確使用上游保護的輸出作為輸入，Azure Logic Apps 會隱藏這些動作的輸入和輸出，但「不會啟用」這些動作的 [保護輸入] 設定。 如果下游動作明確使用了 Compose、Parse JSON 或 Response 動作的隱藏輸出作為輸入，Azure Logic Apps 不會隱藏該下游動作的輸入或輸出。

  

  保護輸入設定

  當您在觸發程序或動作中手動開啟 [保護輸入] 時，Azure Logic Apps 會在執行歷程記錄中隱藏這些輸入。 如果下游動作明確使用該觸發程序或動作的可見輸出作為輸入，Azure Logic Apps 會在執行歷程記錄中隱藏此下游動作的輸入，但在此動作中「不會啟用」[保護輸入]，也不會隱藏此動作的輸出。

  

  如果 Compose、Parse JSON 和 Response 動作明確使用了觸發器或動作中可見的輸出，且該動作有安全輸入，Azure Logic Apps 會隱藏這些動作的輸入與輸出，但不會啟用這些動作的 Secure Inputs 設定。 如果下游動作明確使用了 Compose、Parse JSON 或 Response 動作的隱藏輸出作為輸入，Azure Logic Apps 不會隱藏該下游動作的輸入或輸出。

  

在設計工具中保護輸入和輸出

1. 在 Azure 入口網站中，在設計工具中開啟邏輯應用程式工作流程。

2. 在設計工具上，選取您要保護敏感性資料的觸發程序或動作。

3. 在開啟的資訊窗格上，選取 [設定]，並展開 [安全性]。

   

4. 開啟 [保護輸入]、[保護輸出] 或兩者。

   

   觸發程序或動作的標題列中現在顯示鎖定圖示。 如果權杖代表先前動作的受保護輸出，則也會顯示鎖定圖示。 例如，在後續動作中，當您從動態內容清單選取安全輸出的權杖之後，該權杖會顯示鎖定圖示。

   

5. 當工作流程執行之後，您可以檢視該執行的歷程記錄。

   1. 在邏輯應用程式提要欄位中，選取 [ 概觀]。

   2. 在 [執行歷程記錄] 下，選取您想要檢視的執行。

   3. 在工作流程執行歷程記錄窗格中，選取您想要檢閱的動作。

      如果您已選擇隱藏輸入和輸出，則那些值現在已隱藏。

      

在程式碼檢視中保護輸入和輸出

在基礎觸發程序或動作定義中，使用下列其中一個或兩個值來新增或更新 runtimeConfiguration.secureData.properties 陣列：

• "inputs"：保護執行歷程記錄中的輸入。
• "outputs"：保護執行歷程記錄中的輸出。

"<trigger-or-action-name>": {
   "type": "<trigger-or-action-type>",
   "inputs": {
      <trigger-or-action-inputs>
   },
   "runtimeConfiguration": {
      "secureData": {
         "properties": [
            "inputs",
            "outputs"
         ]
      }
   },
   <other-attributes>
}

安全地跨環境存取參數輸入

如果您在不同的環境之間部署，請考慮將工作流程定義中的值參數化，讓值隨著這些環境而改變。 透過使用 Azure Resource Manager 範本來部署你的邏輯應用程式，你可以避免硬編碼資料，透過定義安全參數保護敏感資料，並透過參數檔案將資料作為獨立輸入傳遞到範本的參數中。

例如，如果您使用 OAuth 搭配 Microsoft Entra ID 驗證 HTTP 動作，您可以定義並遮蔽會接受用於驗證的用戶端識別碼和用戶端密碼的參數。 若要在邏輯應用程式工作流程中定義這些參數，請在邏輯應用程式的工作流程定義和 Resource Manager 部署範本中，使用 parameters 區段。 若要保護參數值而不要在編輯邏輯應用程式或檢視執行歷程記錄時出現，請使用 securestring 或 secureobject 型別來定義參數，並視需要使用編碼。 此型別的參數不會隨著資源定義一起傳回，而在部署之後檢視資源時也無法存取。 若要在執行階段存取這些參數值，請在工作流程定義內使用 @parameters('<parameter-name>') 運算式。 此運算式只在執行階段評估，而且以工作流程定義語言來描述。

如需詳細資訊，請參閱本文下列各節：

• 工作流程定義中的安全參數。
• 使用混淆來保護執行歷程記錄中的資料。

如果您使用 Resource Manager 範本來自動部署邏輯應用程式，您可以使用 和 securestring 型別來定義受保護的secureobject (在部署時評估)。 若要定義範本參數，請使用範本的最上層 parameters 區段，此區段獨立且不同於工作流程定義的 parameters 區段。 若要提供範本參數的值，請使用個別的參數檔案。

例如，如果您使用秘密，您可以定義和使用受保護的範本參數，在部署時從 Azure Key Vault 取得這些秘密。 然後，您可以在參數檔案中參考金鑰保存庫和祕密。 欲了解更多資訊，請參閱：

• 在部署時使用 Azure Key Vault 傳遞敏感值。
• 本文後面會提到 Azure Resource Manager 模板中的 Secure parameters。

保護工作流程定義中的參數 (使用量工作流程)

若要保護邏輯應用程式工作流程定義中的敏感性資訊，請使用受保護的參數，在您儲存邏輯應用程式工作流程之後就不會看到此資訊。 舉例來說，假設你有一個需要基本認證的 HTTP 動作，使用使用者名稱和密碼。 在工作流程定義中，parameters 區段使用 basicAuthPasswordParam 型別來定義 basicAuthUsernameParam 和 securestring 參數。 然後，動作定義會在 authentication 區段中參考這些參數。

"definition": {
   "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
   "actions": {
      "HTTP": {
         "type": "Http",
         "inputs": {
            "method": "GET",
            "uri": "https://www.microsoft.com",
            "authentication": {
               "type": "Basic",
               "username": "@parameters('basicAuthUsernameParam')",
               "password": "@parameters('basicAuthPasswordParam')"
            }
         },
         "runAfter": {}
      }
   },
   "parameters": {
      "basicAuthPasswordParam": {
         "type": "securestring"
      },
      "basicAuthUsernameParam": {
         "type": "securestring"
      }
   },
   "triggers": {
      "manual": {
         "type": "Request",
         "kind": "Http",
         "inputs": {
            "schema": {}
         }
      }
   },
   "contentVersion": "1.0.0.0",
   "outputs": {}
}

保護 Azure Resource Manager 範本中的參數 (使用量工作流程)

邏輯應用程式資源和工作流程的 Resource Manager 範本有多個 parameters 區段。 若要保護密碼、金鑰、秘密及其他敏感性資訊，請在範本層級和工作流程定義層級，使用 securestring 或 secureobject 型別來定義受保護的參數。 然後，您可以將這些值儲存在 Azure Key Vault 中，並使用參數檔案來參考金鑰保存庫和密碼。 然後，您的範本會在部署時取出該資訊。 如需詳細資訊，請檢閱在部署時使用 Azure Key Vault 傳遞敏感值。

此清單包含這些 parameters 區段的詳細資訊：

• 在範本的最上層，parameters 區段定義的參數指定範本在「部署」時使用的值。 例如，這些值可以包含特定部署環境的連接字串。 然後，您可以將這些值儲存在個別的參數檔案中，以更輕鬆變更這些值。

• 在邏輯應用程式的資源定義內 (但在工作流程定義外)，parameters 區段指定工作流程定義參數的值。 在此區段中，您可以使用範本運算式來參考範本的參數，以指派這些值。 部署時會評估這些運算式。

• 在工作流程定義內，parameters 區段會定義邏輯應用程式工作流程在執行階段使用的參數。 然後，您可以在邏輯應用程式的工作流程內，使用工作流程定義運算式 (在執行階段評估) 來參考這些參數。

這個範例範本有多個使用 securestring 型別的受保護參數定義：

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "LogicAppName": {
         "type": "string",
         "minLength": 1,
         "maxLength": 80,
         "metadata": {
            "description": "Name of the Logic App."
         }
      },
      "TemplatePasswordParam": {
         "type": "securestring"
      },
      "TemplateUsernameParam": {
         "type": "securestring"
      },
      "LogicAppLocation": {
         "type": "string",
         "defaultValue": "[resourceGroup().location]",
         "allowedValues": [
            "[resourceGroup().location]",
            "eastasia",
            "southeastasia",
            "centralus",
            "eastus",
            "eastus2",
            "westus",
            "northcentralus",
            "southcentralus",
            "northeurope",
            "westeurope",
            "japanwest",
            "japaneast",
            "brazilsouth",
            "australiaeast",
            "australiasoutheast",
            "southindia",
            "centralindia",
            "westindia",
            "canadacentral",
            "canadaeast",
            "uksouth",
            "ukwest",
            "westcentralus",
            "westus2"
         ],
         "metadata": {
            "description": "Location of the Logic App."
         }
      }
   },
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
               "actions": {
                  "HTTP": {
                     "type": "Http",
                     "inputs": {
                        "method": "GET",
                        "uri": "https://www.microsoft.com",
                        "authentication": {
                           "type": "Basic",
                           "username": "@parameters('basicAuthUsernameParam')",
                           "password": "@parameters('basicAuthPasswordParam')"
                        }
                     },
                  "runAfter": {}
                  }
               },
               "parameters": {
                  "basicAuthPasswordParam": {
                     "type": "securestring"
                  },
                  "basicAuthUsernameParam": {
                     "type": "securestring"
                  }
               },
               "triggers": {
                  "manual": {
                     "type": "Request",
                     "kind": "Http",
                     "inputs": {
                        "schema": {}
                     }
                  }
               },
               "contentVersion": "1.0.0.0",
               "outputs": {}
            },
            "parameters": {
               "basicAuthPasswordParam": {
                  "value": "[parameters('TemplatePasswordParam')]"
               },
               "basicAuthUsernameParam": {
                  "value": "[parameters('TemplateUsernameParam')]"
               }
            }
         }
      }
   ],
   "outputs": {}
}

支援驗證的連接器驗證類型

下表顯示連接器作業上可用的驗證類型，您可以在其中選取驗證類型：

要求型觸發程序的輸入呼叫存取權

邏輯應用程式透過要求型觸發程序 (例如要求觸發程序或 HTTP Webhook 觸發程序) 接收的輸入呼叫，支援加密且至少使用傳輸層安全性 (TLS) 1.2 保護，先前稱為安全通訊端層 (SSL)。 Azure Logic Apps 收到要求觸發程序的輸入呼叫或 HTTP Webhook 觸發程序或動作的回呼時，會強制執行此版本。

針對輸入呼叫，請使用下列加密套件：

• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384。
• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256。
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384。
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256。
• TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384。
• TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256。
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384。
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256。

下列清單包含數種方式，可讓您限制存取接收邏輯應用程式工作流程輸入呼叫的觸發程序，而僅允許已授權的用戶端呼叫工作流程：

• 啟用 OAuth 搭配 Microsoft Entra ID。
• 產生共享存取簽章（SAS）金鑰或令牌。
• 停用共享存取簽章（SAS）認證。
• 限制入站 IP 位址。
• 用 Azure API 管理 公開你嘅邏輯應用。

啟用具有 Microsoft Entra ID 的 OAuth 2.0

在以要求型觸發程序開頭的取用工作流程中，您可以啟用具有 Microsoft Entra ID 的 OAuth 2.0，以驗證傳送至該觸發程序所建立之端點的輸入呼叫，並予以授權。 若要設定此驗證，請在邏輯應用程式資源層級定義或新增授權原則。 如此一來，輸入呼叫會使用 OAuth 存取權杖進行授權。

當邏輯應用程式工作流程收到包含 OAuth 存取權杖的輸入要求時，Azure Logic Apps 會比較權杖的宣告與每個授權原則中指定的宣告。 如果權杖的宣告與至少一個原則中的所有宣告相符，則會成功授權輸入要求。 權杖的宣告可以比授權原則指定的數目更多。

在以要求觸發程序 (而非 Webhook 觸發程序) 開頭的標準工作流程中，若有輸入呼叫傳送至要求觸發程序使用受控識別建立的端點，您可以使用 Azure Functions 佈建加以驗證。 此佈建也稱為「簡單驗證」。 如需詳細資訊，請參閱標準邏輯應用程式中具有簡單驗證的觸發程序工作流程。

啟用具有 Microsoft Entra ID 的 OAuth 2.0 之前的考量

• 為了獲得最佳安全性，Microsoft建議您盡可能使用 Microsoft Entra ID 搭配 受控識別 進行驗證。 此選項提供更優越的安全保障，且不需憑證。 Azure 會管理此身分識別，並協助確保驗證資訊安全性，讓您無須管理這項敏感性資訊。 若要設定 Azure Logic Apps 的受控識別，請參閱 使用 Azure Logic Apps 中的受控識別來驗證 Azure 資源的存取權和連線。

• 在取用工作流程中，對要求型觸發程序的端點 URL 進行輸入呼叫時只能使用一個授權配置：具有 Microsoft Entra ID 的 OAuth 2.0 或共用存取簽章 (SAS)。 雖然使用一個配置時並不會停用另一個配置，但若同時使用這兩個配置，Azure Logic Apps 會產生錯誤，因為服務不知道應選擇哪一個配置。 如果您的取用工作流程始於要求觸發程序，您可以停用 SAS 驗證，並限制授權僅使用具有 Microsoft Entra ID 的 OAuth 2.0。 對於標準工作流程，您可以使用其他驗證類型而不停用 SAS。

• Azure Logic Apps 支援 Microsoft Entra ID OAuth 存取權杖的持有人類型或擁有權證明類型 (僅限使用量邏輯應用程式) 授權配置。 不過，存取權杖的 Authorization 標頭必須指定 Bearer 類型或 PoP 類型。 如需如何取得和使用 PoP 權杖的詳細資訊，請參閱取得擁有權證明 (PoP) 權杖。

• 取用邏輯應用程式資源受限於授權原則數目上限。 每個授權原則也有宣告數目上限。 如需詳細資訊，請參閱 Azure Logic Apps 的限制和設定。

• 授權政策必須至少包含 發行人 及 受眾 權利要求。 簽發者聲明具有一個值，該值以 https://sts.windows.net/ 或 https://login.microsoftonline.com/bbb (OAuth V2) 開頭，做為 Microsoft Entra ID 的簽發者。 適用對象聲明具有一個值，該值表示您的邏輯應用資源的預期適用對象。

  例如，假設邏輯應用程式資源的授權原則需要兩種宣告類型：對象和簽發者。 解碼存取權杖的這個範例承載區段包含宣告類型，其中 aud 是對象值，而 iss 是簽發者值：

  {
      "aud": "https://management.core.windows.net/",
      "iss": "https://sts.windows.net/<Azure-AD-issuer-ID>/",
      "iat": 1582056988,
      "nbf": 1582056988,
      "exp": 1582060888,
      "_claim_names": {
         "groups": "src1"
      },
      "_claim_sources": {
         "src1": {
            "endpoint": "https://graph.windows.net/7200000-86f1-41af-91ab-2d7cd011db47/users/00000-f433-403e-b3aa-7d8406464625d7/getMemberObjects"
         }
      },
      "acr": "1",
      "aio": "AVQAq/8OAAAA7k1O1C2fRfeG604U9e6EzYcy52wb65Cx2OkaHIqDOkuyyr0IBa/YuaImaydaf/twVaeW/etbzzlKFNI4Q=",
      "amr": [
         "rsa",
         "mfa"
      ],
      "appid": "c44b4083-3bb0-00001-b47d-97400853cbdf3c",
      "appidacr": "2",
      "deviceid": "bfk817a1-3d981-4dddf82-8ade-2bddd2f5f8172ab",
      "family_name": "Sophia Owen",
      "given_name": "Sophia Owen (Fabrikam)",
      "ipaddr": "167.220.2.46",
      "name": "sophiaowen",
      "oid": "3d5053d9-f433-00000e-b3aa-7d84041625d7",
      "onprem_sid": "S-1-5-21-2497521184-1604012920-1887927527-21913475",
      "puid": "1003000000098FE48CE",
      "scp": "user_impersonation",
      "sub": "KGlhIodTx3XCVIWjJarRfJbsLX9JcdYYWDPkufGVij7_7k",
      "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
      "unique_name": "SophiaOwen@fabrikam.com",
      "upn": "SophiaOwen@fabrikam.com",
      "uti": "TPJ7nNNMMZkOSx6_uVczUAA",
      "ver": "1.0"
  }
  

啟用 OAuth 2.0 並啟用 Microsoft Entra ID 作為呼叫請求端點的唯一選項

對於要求型端點，您可以限制授權僅使用具有 Microsoft Entra ID 的 OAuth 2.0。 即使您也停用共用存取簽章 (SAS) 驗證，此選項仍適用。

1. 針對你的工作流程，設定 請求觸發器 或 HTTP Webhook 觸發器，並具備檢查 OAuth 存取權杖的功能，方法是 依照步驟在請求或 HTTP webhook 觸發器輸出中加入「授權」標頭。

   Note

   此步驟會在工作流程的執行歷程記錄和觸發程序的輸出中顯示 Authorization 標頭。

2. 在 Azure 入口網站，在設計器中開啟你的工作流程。

3. 在設計工具中，選取觸發程序。 在開啟的資訊窗格上，選取 [設定]。

4. 在 [一般]>[觸發條件] 底下，選取 [新增]。 在觸發條件方塊中，根據您想要使用的權杖類型，輸入下列任一運算式：

   @startsWith(triggerOutputs()?['headers']?['Authorization'], 'Bearer')

   -或-

   @startsWith(triggerOutputs()?['headers']?['Authorization'], 'PoP')

如果您在沒有正確授權的情況下呼叫觸發端點，執行歷程會將觸發程序顯示為 Skipped，且不會顯示任何指出觸發條件失敗的訊息。

取得擁有權證明 (PoP) 權杖

Microsoft 驗證程式庫 (MSAL) 程式庫會提供 PoP 權杖供您使用。 如果你想呼叫的消費邏輯應用程式工作流程需要 PoP 標記，你可以透過 MSAL 函式庫取得這個標記。 下列範例示範如何取得 PoP 權杖：

• 一個使用自身身分呼叫受保護 Web API 的 .NET Core 常駐主控台應用程式。

• SignedHttpRequest，也稱為 PoP (擁有權證明)。

若要將 PoP 權杖用於您的取用邏輯應用程式工作流程，請按照步驟設定具有 Microsoft Entra ID 的 OAuth。

為您的取用邏輯應用程式資源啟用具有 Microsoft Entra ID 的 OAuth

若要將授權原則新增至取用邏輯應用程式，請依照 Azure 入口網站或 Azure Resource Manager 範本的步驟操作：

"resources": [
   {
      // Start logic app resource definition
      "properties": {
         "state": "<Enabled-or-Disabled>",
         "definition": {<workflow-definition>},
         "parameters": {<workflow-definition-parameter-values>},
         "accessControl": {
            "triggers": {
               "openAuthenticationPolicies": {
                  "policies": {
                     "<policy-name>": {
                        "type": "AAD",
                        "claims": [
                           {
                              "name": "<claim-name>",
                              "value": "<claim-value>"
                           }
                        ]
                     }
                  }
               }
            },
         },
      },
      "name": "[parameters('LogicAppName')]",
      "type": "Microsoft.Logic/workflows",
      "location": "[parameters('LogicAppLocation')]",
      "apiVersion": "2016-06-01",
      "dependsOn": [
      ]
   }
   // End logic app resource definition
],

在要求或 HTTP Webhook 觸發程序輸出中包含 'Authorization' 標頭

對於啟用具有 Microsoft Entra ID 的 OAuth 以授權給輸入呼叫存取要求型觸發程序的邏輯應用程式，您可以啟用要求觸發程序或 HTTP Webhook 觸發程序輸出，以包含來自 OAuth 存取權杖的 Authorization 標頭。 在觸發程序的基礎 JSON 定義中，將 operationOptions 屬性新增並設定為 IncludeAuthorizationHeadersInOutputs。 以下是要求觸發程序的範例：

"triggers": {
   "manual": {
      "inputs": {
         "schema": {}
      },
      "kind": "Http",
      "type": "Request",
      "operationOptions": "IncludeAuthorizationHeadersInOutputs"
   }
}

欲了解更多資訊，請參閱：

• 觸發程序和動作類型的結構描述參考 - 要求觸發程序。
• 觸發器與動作類型的結構參考 - HTTP Webhook 觸發器。
• 觸發與動作類型的架構參考 - 操作選項。

產生共用存取簽章 (SAS) 金鑰或權杖

若工作流程始於要求型觸發程序，且您是首次儲存該工作流程，則 Azure Logic Apps 會在該觸發程序上建立可呼叫的端點。 此端點具有可接收輸入呼叫或要求啟動工作流程的 URL。 該 URL 包含共用存取簽章 (SAS)，這是將權限授與儲存體服務 (舉例而言) 的金鑰或權杖。 此端點 URL 使用下列格式：

https://<request-endpoint-URI>sp=<permissions>sv=<SAS-version>sig=<signature>

例如，若要在要求觸發程序中檢視此 URL，請尋找觸發程序的 HTTP URL 屬性：

完整的 URL 如下列範例所示：

https://{domain}:443/workflows/XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2FWhen_a_HTTP_request_is_received%2Frun&sv=1.0&sig=ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ

URL 中的 SAS 具有查詢參數，如下表所說明：

對要求型觸發程序的端點進行輸入呼叫只能使用一個授權配置：SAS 或具有 Microsoft Entra ID 的 OAuth 2.0。 雖然使用一個配置時並不會停用另一個，但若同時使用這兩個配置，Azure Logic Apps 會產生錯誤，因為服務不知道應選擇哪一個配置。

如果您有始於要求觸發程序的取用工作流程，則可以停用 SAS 驗證。 即使您也限制授權僅使用具有 Microsoft Entra ID 的 OAuth 2.0，此選項仍適用。 對於標準工作流程，您可以使用其他驗證類型而不停用 SAS。

如需使用 SAS 金鑰時的安全性詳細資訊，請參閱本指南中的下列各節：

• 重新生成存取金鑰。
• 建立會過期的回呼網址。
• 使用主要或次要索引鍵建立 URL。

停用共享存取簽章（SAS）認證

根據預設，要求型觸發程序會啟用 SAS 驗證。 觸發程序的端點 URL 包含 SAS，開頭為查詢參數 sp-<permissions>sv-<SAS-version>sig=<signature>，例如：

https://{domain}:443/workflows/XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2FWhen_a_HTTP_request_is_received%2Frun&sv=1.0&sig=ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ

如果你的工作流程是從 Request 觸發器開始，且你想使用 OAuth 搭配 Microsoft Entra ID，你可以關閉 SAS 認證以避免執行錯誤和問題。 您也可藉由移除對秘密的相依性來新增安全性階層，進而降低記錄或洩漏秘密的風險。

即使您也啟用具有 Microsoft Entra ID 的 OAuth 2.0，作為呼叫要求型端點的唯一選項，此選項仍適用。 對於標準工作流程，您可以使用其他驗證類型而不停用 SAS。

停用 SAS 驗證之後，要求觸發程序的端點 URL 即不再包含 SAS 金鑰，例如：

https://{domain}:443/workflows/XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01

停用 SAS 認證的前提條件

要在基於請求的觸發器中停用 SAS 認證，你需要一個工具來發送 REST API 呼叫，例如：

• Visual Studio Code 搭配來自 Visual Studio Marketplace 的 擴充功能
• PowerShell Invoke-RestMethod
• Microsoft Edge - 網路控制台工具
• 布魯諾
• curl

檢查已啟用或停用 SAS 的觸發程序

SAS 驗證停用時，觸發程序的端點 URL 即不再包含 SAS 金鑰。 此外，取用工作流程定義也會包含 sasAuthenticationPolicy JSON 物件。 此物件具有設定為 [已停用] 的狀態屬性，例如：

"properties": {
    "accessControl": {
        "triggers": {
            "sasAuthenticationPolicy": {
                "state": "Disabled"
            }
        }
    }
}

若要尋找已啟用或停用 SAS 的取用工作流程，請檢查工作流程定義是否包含狀態屬性設定為 [已停用] 的 sasAuthenticationPolicy 物件。

1. 使用工具傳送 REST API 呼叫後，請使用下列 GET 要求執行工作流程 -取得作業，以取得工作流程的相關資訊，例如：

   GET https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01

2. 取得工作流程 - 取得作業的輸出，並檢查 sasAuthenticationPolicy 物件是否存在，且狀態屬性設定為 [已停用]。

將 sasAuthenticationPolicy 屬性新增至您的工作流程定義

對於要停用 SAS 驗證的取用工作流程，請遵循下列步驟：

1. 執行下列作業 (若尚未執行)：使用下列 GET 要求執行工作流程 -取得作業，以取得工作流程的相關資訊，例如：

   GET https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01

2. 取得工作流程 - 取得作業的輸出，並手動新增下列元素：

   1. 在 properties 物件中，新增包含 accessControl 物件的 triggers 物件 (如果不存在)。

   2. 在 triggers 物件中新增 sasAuthenticationPolicy 物件，且其中包含設定為 state 的 Disabled 屬性。

   完成作業後，編輯的部分會如同下列範例所示：

   "properties": {
       "accessControl": {
           "triggers": {
               "sasAuthenticationPolicy": {
                   "state": "Disabled"
               }
           }
       }
   }
   

3. 使用下列 PUT 要求執行工作流程 - 更新作業 (部分機器翻譯)，傳送另一個要求以使用經過編輯的輸出 (作為要求本文中的輸入) 更新工作流程，例如：

   PUT https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01

4. 在 Azure 入口網站中，移至設計工具中的取用工作流程，並確認要求觸發程序的 URL 不再包含 SAS。

5. 若要啟用具有 Microsoft Entra ID 的 OAuth 2.0，請在邏輯應用程式資源層級為具有 Microsoft Entra ID 的 OAuth 新增授權原則。

   如需詳細資訊，請參閱具有 Microsoft Entra ID 的 OAuth 2.0。

重新產生存取金鑰

若要維護安全性並保護對邏輯應用程式工作流程的存取，請定期重新產生存取金鑰，因為它們可能需要符合安全性原則或遭到入侵。 如此一來，您可以確定只有授權的要求可以觸發您的工作流程，以保護您的資料和程序免於遭到未經授權的存取。

隨時想要產生新的存取金鑰時，請使用 Azure REST API 或 Azure 入口網站。 之前使用舊金鑰產生的所有 URI 或 URL 都會失效，不再有授權來觸發邏輯應用程式工作流程。 重新產生之後，將以新的存取金鑰來簽署您取出的 URI。

1. 在 Azure 入口網站中，開啟使用您要重新產生之金鑰的邏輯應用程式資源。

2. 在邏輯應用程式資源功能表的 [設定] 下，選取 [存取金鑰]。

3. 選取您要重新產生的金鑰，並完成流程。

建立有期限的回呼 URL

對於以要求為基礎的觸發程序，如果您要將端點 URL 分享給其他人，您可以產生使用特定金鑰且有到期日的回呼 URL。 透過這種方式，您可以順暢地輪替金鑰，或根據特定時間區間限制對觸發邏輯應用程式的存取。 若要指定 URL 的到期日，請使用 Azure Logic Apps REST API，例如：

POST /subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}/triggers/{trigger-name}/listCallbackUrl?api-version=2016-06-01

在本文中，使用 JSON 日期字串包含 NotAfter 屬性。 此屬性會傳回只在 NotAfter 日期與時間之前有效的回呼 URL。

使用主要或次要祕密金鑰建立 URL

針對以要求為基礎的觸發程序，當您產生或列出回呼 URL 時，您可以指定用於簽署 URL 的金鑰。 若要產生以特定金鑰簽署的 URL，請使用 Azure Logic Apps REST API，例如：

POST /subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}/triggers/{trigger-name}/listCallbackUrl?api-version=2016-06-01

在本文中，將屬性 KeyType 包含為 Primary 或 Secondary。 此屬性會傳回以特定安全金鑰簽署的 URL。

使用 Azure API 管理來公開邏輯應用程式工作流程

如需更多驗證通訊協定和選項，請考慮使用 Azure API 管理將邏輯應用程式工作流程公開為 API。 此服務可為任何端點提供豐富的監視、安全性、原則和記錄功能。 API 管理可以公開邏輯應用程式的公用或私人端點。 若要授權存取此端點，您可以使用 OAuth 搭配 Microsoft Entra ID、用戶端憑證或其他安全性標準。 當 API 管理收到要求時，服務會傳送要求至您的邏輯應用程式，並會在過程中進行任何必要的轉換或限制。 若只要讓 API 管理呼叫邏輯應用程式工作流程，您可以限制邏輯應用程式的輸入 IP 位址。

欲了解更多資訊，請參閱：

• 關於 API 管理。
• 在 Azure API 管理 中，使用 OAuth 2.0 授權與 Microsoft Entra ID 來保護 web API 後端。
• 在 API 管理中使用用戶端憑證認證的安全 API。
• API 管理認證政策。

限制輸入 IP 位址

除了共用存取簽章 (SAS)，您可能還想特別限制哪些用戶端可呼叫邏輯應用程式工作流程。 例如，如果您使用 Azure API 管理來管理要求端點，您可以限制邏輯應用程式工作流程接受的要求，只能來自您建立的 API 管理服務執行個體 IP 位址。

無論您指定的 IP 位址為何，您仍可使用工作流程觸發程序 - 執行作業要求或使用 API 管理來執行具有要求型觸發程序的邏輯應用程式工作流程。 不過，此情況仍然需要經過 Azure REST API 來驗證。 所有事件都出現在 Azure 稽核記錄中。 請確定您已適當地設定存取控制原則。

若要限制邏輯應用程式工作流程的輸入 IP 位址，請針對 Azure 入口網站或 Azure Resource Manager 範本執行下列對應步驟。 有效的 IP 範圍使用以下格式：x.x.x.x/x 或 x.x.x.x-x.x.x.x.x。

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               <workflow-definition>
            },
            "parameters": {
            },
            "accessControl": {
               "triggers": {
                  "allowedCallerIpAddresses": []
               },
               "actions": {
                  "allowedCallerIpAddresses": []
               },
               // Optional
               "contents": {
                  "allowedCallerIpAddresses": []
               }
            },
            "endpointsConfiguration": {}
         }
      }
   ],
   "outputs": {}
}

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               <workflow-definition>
            },
            "parameters": {
            },
            "accessControl": {
               "triggers": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     }
                  ]
               },
               "actions": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     }
                  ]
               }
            },
            "endpointsConfiguration": {}
         }
      }
   ],
   "outputs": {}
}

{
   "type": "Microsoft.Web/sites/config",
   "apiVersion": "2022-09-01",
   "name": "[concat(parameters('sites_My_Standard_Logic_App_name'), '/web')]",
   "location": "West US",
   "dependsOn": [
      "[resourceId('Microsoft.Web/sites', parameters('sites_My_Standard_Logic_App_name'))]"
   ],
   "tags": {
      "hidden-link: /app-insights-resource-id": "/subscriptions/{subscriptionID}/resourceGroups/Standard-RG/providers/Microsoft.Insights/components/My-Standard-Logic-App"
   },
   "properties": {
      "numberOfWorkers": 1,
      "defaultDocuments": [
         "Default.htm",
         "Default.html",
         "Default.asp",
         "index.htm",
         "index.html",
         "iisstart.htm",
         "default.aspx",
         "index.php"
      ],
      "netFrameworkVersion": "v6.0",
      "requestTracingEnabled": false,
      "remoteDebuggingEnabled": false,
      "httpLoggingEnabled": false,
      "acrUseManagedIdentityCreds": false,
      "logsDirectorySizeLimit": 35,
      "detailedErrorLoggingEnabled": false,
      "publishingUsername": "$My-Standard-Logic-App",
      "scmType": "None",
      "use32BitWorkerProcess": false,
      "webSocketsEnabled": false,
      "alwaysOn": false,
      "managedPipelineMode": "Integrated",
      "virtualApplications": [
         {
            "virtualPath": "/",
            "physicalPath": "site\\wwwroot",
            "preloadEnabled": false
         }
      ],
      "loadBalancing": "LeastRequests",
      "experiments": {
         "rampUpRules": []
      },
      "autoHealEnabled": false,
      "vnetRouteAllEnabled": false,
      "vnetPrivatePortsCount": 0,
      "publicNetworkAccess": "Enabled",
      "cors": {
         "supportCredentials": false
      },
      "localMySqlEnabled": false,
      "managedServiceIdentityId": 3065,
      "ipSecurityRestrictions": [
         {
            "ipAddress": "208.130.0.0/16",
            "action": "Deny",
            "tag": "Default",
            "priority": 100,
            "name": "Ports"
         },
         {
            "ipAddress": "Any",
            "action": "Deny",
            "priority": 2147483647,
            "name": "Deny all",
            "description": "Deny all access"
         }
      ],
      "ipSecurityRestrictionsDefaultAction": "Deny",
      "scmIpSecurityRestrictions": [
         {
            "ipAddress": "Any",
            "action": "Allow",
            "priority": 2147483647,
            "name": "Allow all",
            "description": "Allow all access"
         }
      ],
      "scmIpSecurityRestrictionsDefaultAction": "Allow",
      "scmIpSecurityRestrictionsUseMain": false,
      "http20Enabled": false,
      "minTlsVersion": "1.2",
      "scmMinTlsVersion": "1.2",
      "ftpsState": "FtpsOnly",
      "preWarmedInstanceCount": 1,
      "functionAppScaleLimit": 0,
      "functionsRuntimeScaleMonitoringEnabled": true,
      "minimumElasticInstanceCount": 1,
      "azureStorageAccounts": {}
   }
},

對其他服務和系統的輸出呼叫存取權

根據目標端點的能力，HTTP 觸發器或 HTTP 動作 所發出的外撥呼叫支援加密，並以 傳輸層安全（TLS）1.0、1.1、1.2 或 1.3 保護，過去稱為安全套接字層（SSL）。 Azure Logic Apps 會使用支援的最高可能版本與目標端點交涉。 例如，如果目標端點支援 1.3，HTTP 觸發器或動作會先使用 1.3。 否則，連接器會使用下一個最高支援的版本。

此清單包含 TLS/SSL 自我簽署憑證的相關資訊：

• 對於多租用戶 Azure Logic Apps 環境中的使用量邏輯應用程式工作流程，HTTP 作業不允許自我簽署 TLS/SSL 憑證。 如果您的邏輯應用程式對伺服器進行 HTTP 呼叫，並呈現 TLS/SSL 自我簽署憑證，HTTP 呼叫就會失敗並出現 TrustFailure 錯誤。

• 針對單一租用戶 Azure Logic Apps 環境中的標準邏輯應用程式工作流程，HTTP 作業支援自我簽署 TLS/SSL 憑證。 不過，您必須完成此驗證類型的幾個額外步驟。 否則，通話失敗。 如需詳細資訊，請檢閱單一租使用者 Azure Logic Apps 的 TLS/SSL 憑證驗證。

  如果您想要改用用戶端憑證或 OAuth 搭配 Microsoft Entra ID 與「憑證」認證類型，您仍然需要完成此驗證類型的幾個額外步驟。 否則，通話失敗。 如需詳細資訊，請參閱適用於單一租用戶 Azure Logic Apps 的用戶端憑證或 OAuth 搭配 Microsoft Entra ID 與「憑證」認證類型。

如果端點處理邏輯應用程式工作流程所傳送的呼叫，以下有其他方法有助於保護端點：

• 將驗證新增至輸出要求。

  使用 HTTP 觸發程序或動作來傳送輸出呼叫時，您可以將驗證新增至邏輯應用程式所傳送的要求。 例如，您可以選取下列驗證類型：

  • 基本的驗證。

  • 用戶端憑證驗證。

  • Active Directory OAuth（OAuth 2.0 with Microsoft Entra ID）認證。

  • 管理式身份驗證。

• 限制來自邏輯應用程式工作流程 IP 位址的存取。

  從邏輯應用程式工作流程對端點的所有呼叫，都源自以邏輯應用程式的區域為基礎的特定 IP 位址。 您可以新增篩選，以只接受來自那些 IP 位址的要求。 如需取得這些 IP 位址，請檢閱 Azure Logic Apps 的限制和設定。

• 改善內部部署系統的連線安全性。

  Azure Logic Apps 與下列服務整合，提供更安全可靠的內部部署通訊。

  • 內部部署資料閘道。

    Azure Logic Apps 的許多受控連接器都支援安全連線至內部部署系統，例如檔案系統、SQL、SharePoint 和 DB2。 閘道會在加密通道上經過 Azure 服務匯流排傳送來自內部部署來源的資料。 所有流量都會從閘道 Agent 以安全的傳出流量形式發出。 了解內部部署資料閘道的運作方式。

  • 透過 Azure API 管理 連接。

    Azure API 管理提供內部部署連線選項，例如站對站虛擬私人網路和 ExpressRoute 整合，以對內部部署系統提供安全的 Proxy 和通訊。 如果您有提供內部部署系統存取權的 API，而且已藉由建立API 管理服務執行個體來公開該 API，您可以從邏輯應用程式的工作流程中呼叫該 API，方法是在工作流程設計工具中選取 [API 管理] 作業。

    Note

    連接器只會顯示您有權檢視和連線的 API 管理服務，但不會顯示以使用量為基礎的 API 管理服務。

    根據您的邏輯應用程式資源類型，遵循對應的步驟：

    使用量工作流程

    1. 根據您要新增 API 管理觸發程序還是動作，請遵循下列步驟：

       • 觸發程序：依照一般步驟新增名為 Choose an Azure API 管理 Trigger 的觸發程序。

       • 動作：依照一般步驟新增名為「選擇 Azure API 管理」的動作。

    2. 從 [API 管理服務執行個體] 清單中，選取您先前建立的 API 管理服務執行個體。

    3. 從 [API 作業] 清單中，選取要呼叫的 API 作業，然後選取 [新增動作]。

    標準工作流程

    針對標準工作流程，您只能新增 [API 管理] 動作，而不是觸發程序。

    1. 在工作流程設計器中，依照一般步驟新增名為「呼叫 Azure API 管理 API」的動作。

    2. 從 [API 管理服務執行個體] 清單中，選取您先前建立的 API 管理服務執行個體。

    3. 從 [API 作業] 清單中，選取要呼叫的 API 作業，然後選取 [新建]。

       

將驗證新增至輸出呼叫

HTTP 和 HTTPS 端點支援各種類型的驗證。 在某些將輸出呼叫或要求傳送至這些端點的觸發程序和動作上，您可以指定驗證類型。 在工作流程設計工具中，支援選擇驗證類型的觸發程式和動作具有 [驗證] 屬性。 不過，此屬性不一定會預設顯示。 在這些情況下，請在觸發程序或動作上開啟 [進階參數] 清單，然後選取 [驗證]。

基本驗證

對於 HTTP 呼叫，基本驗證會使用 base64 編碼字串，其中包含用來提出要求的使用者名稱和密碼。 除非您在使用此選項時搭配 HTTPS/SSL 通訊協定，否則此方法會傳輸未加密的認證，因而提高安全性風險。

如果 [基本] 是可用選項並已選取，請指定下列屬性值：

當您使用受保護的參數來處理和保護敏感性資訊時，例如，在用於自動化部署的 Azure Resource Manager 範本中，您可以使用運算式在執行階段存取這些參數值。 這個 HTTP 動作定義範例將驗證 type 指定為 Basic，並使用 parameters() 函式 來取得參數值：

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "Basic",
         "username": "@parameters('userNameParam')",
         "password": "@parameters('passwordParam')"
      }
  },
  "runAfter": {}
}

用戶端憑證驗證

用戶端憑證驗證會允許或要求使用者直接使用 X.509 憑證對其 Microsoft Entra ID 進行驗證，以登入應用程式和瀏覽器。 此功能可協助您採用防釣魚驗證，並使用 X.509 憑證對公開金鑰基礎結構 (PKI) 進行驗證。

如果 [用戶端憑證] 是可用選項並已選取，請指定下列屬性值：

當您使用受保護的參數來處理和保護敏感性資訊時，例如，在用於自動化部署的 Azure Resource Manager 範本中，您可以使用運算式在執行階段存取這些參數值。 這個 HTTP 動作定義範例將驗證 type 指定為 ClientCertificate，並使用 parameters() 函式 來取得參數值：

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "ClientCertificate",
         "pfx": "@parameters('pfxParam')",
         "password": "@parameters('passwordParam')"
      }
   },
   "runAfter": {}
}

欲了解更多關於利用用戶端憑證認證來保護服務的資訊，請參閱：

• 透過在 Azure API 管理 中使用客戶端憑證認證來提升 API 的安全性。
• 透過在 Azure API 管理 中使用客戶端憑證認證來提升後端服務的安全性。
• 透過使用用戶端憑證提升 RESTful 服務的安全性。
• 用於應用程式驗證的憑證認證。
• 在 Azure App 服務 的程式碼中使用 TLS/SSL 憑證。

Active Directory OAuth（使用 Microsoft Entra ID 的 OAuth 2.0）驗證

在要求觸發程序上，您可以在為邏輯應用程式設定 Microsoft Entra 授權原則之後，使用 Microsoft Entra 平台來驗證傳入呼叫。

在所有支援 Active Directory OAuth (具有 Microsoft Entra ID 的 OAuth 2.0) 驗證類型的其他觸發程序和動作上，指定下列屬性值：

當您使用受保護的參數來處理和保護敏感性資訊時，例如，在用於自動化部署的 Azure Resource Manager 範本中，您可以使用運算式在執行階段存取這些參數值。 這個 HTTP 動作定義範例將驗證 type 指定為 ActiveDirectoryOAuth，將認證類型指定為 Secret，並使用 parameters() 函式來取得參數值：

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "ActiveDirectoryOAuth",
         "tenant": "@parameters('tenantIdParam')",
         "audience": "https://management.core.windows.net/",
         "clientId": "@parameters('clientIdParam')",
         "credentialType": "Secret",
         "secret": "@parameters('secretParam')"
     }
   },
   "runAfter": {}
}

原始驗證

如果有 Raw 選項，當你需要使用不遵循 OAuth 2.0 協定的認證方案時，請使用此認證類型。 使用此類型時，您可以手動建立授權標頭值以隨著傳出要求一起傳送，並在觸發程序或動作中指定該標頭值。

下列範例顯示遵循 OAuth 1.0 通訊協定的 HTTPS 要求範例標頭：

Authorization: OAuth realm="Photos",
   oauth_consumer_key="dpf43f3p2l4k3l03",
   oauth_signature_method="HMAC-SHA1",
   oauth_timestamp="137131200",
   oauth_nonce="wIjqoS",
   oauth_callback="http%3A%2F%2Fprinter.example.com%2Fready",
   oauth_signature="74KNZJeDHnMBp0EMJ9ZHt%2FXKycU%3D"

在支援原始驗證的觸發程序或動作中，請指定下列屬性值：

當你使用安全參數來處理和保護敏感資訊時，例如在 Azure Resource Manager 範本中自動化部署，你可以在執行時使用表達式來存取這些參數值。 這個 HTTP 動作定義範例將驗證 type 指定為 Raw，並使用 parameters() 函式 來取得參數值：

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "Raw",
         "value": "@parameters('authHeaderParam')"
      }
   },
   "runAfter": {}
}

管理式身份驗證

當支援管理身份驗證的觸發器或動作中有受管理身份選項時，你的邏輯應用程式可以使用此身份來驗證由 Microsoft Entra ID 保護的 Azure 資源存取權，而不必使用憑證、秘密或 Microsoft Entra 憑證。 Azure 會為您管理此身分識別，並協助保護您的認證，因為您不需要管理祕密或直接使用 Microsoft Entra 權杖。 深入了解支援使用受控識別進行 Microsoft Entra 驗證的 Azure 服務。

• 使用量邏輯應用程式資源可以使用系統指派的身分識別，或單一手動建立的使用者指派身分識別。

• 標準邏輯應用程式資源類型支援同時啟用系統指派的受控識別和多個使用者指派的受控識別，但您隨時仍只能選取一個身分識別來使用。

  Note

  預設已啟用系統指派的身分識別在執行階段驗證連線。 此身分識別與您建立連線時所使用的驗證認證或連接字串不同。 如果你停用這個身份，連線在執行時就無法運作。 要查看此設定，請在 Logic App 側邊欄的設定中選擇「身份」。

1. 若要讓邏輯應用程式使用受控識別，請遵循在 Azure Logic Apps 中使用受控識別來驗證對 Azure 資源的存取中的步驟。 這些步驟會在邏輯應用程式上啟用受控識別，並設定該身分識別對目標 Azure 資源的存取權。

2. 請先啟用 Azure 函式的驗證，Azure 函式才能使用受控識別。

3. 在支援使用受控識別的觸發程序或動作中，提供這項資訊：

   內建觸發程序和動作

   屬性 (設計工具)	屬性（JSON）	Required	價值	說明
   驗證	type	Yes	受控識別 或 ManagedServiceIdentity	要使用的驗證類型
   受控識別	identity	No	< 使用者指派身份識別碼>	要使用的使用者指派的受控識別。 注意：使用系統指派的受控識別時，請勿包含此屬性。
   目標對象	audience	Yes	< 目標資源識別碼>	資源識別碼，代表您想要存取的目標資源。 例如，https://storage.azure.com/ 為所有儲存體帳戶提供有效的驗證存取權杖。 不過，您也可以為特定儲存體帳戶指定根服務 URL，例如 https://fabrikamstorageaccount.blob.core.windows.net。 注意：某些觸發程序或動作中，可能會隱藏 [對象] 屬性。 若要顯示此屬性，請在觸發程序或動作中開啟 [進階參數] 清單，然後選取 [對象]。 重要：請確保此目標資源 ID 與 Microsoft Entra ID 預期的值完全一致，包括任何必要的結尾斜線。 因此，所有 Azure Blob 儲存體帳戶的 https://storage.azure.com/ 資源識別碼需要有尾端斜線。 不過，特定儲存體帳戶的資源識別碼不需要尾端斜線。 若要尋找這些資源識別碼，請檢閱支援 Microsoft Entra ID 的 Azure 服務。

   當你使用安全參數來處理和保護敏感資訊時，例如在 Azure Resource Manager 範本中自動化部署，你可以在執行時使用表達式來存取這些參數值。 例如，這個 HTTP 動作定義範例會將驗證 type 指定為 ManagedServiceIdentity，並使用 parameters() 函式 來取得參數值：

   "HTTP": {
      "type": "Http",
      "inputs": {
         "method": "GET",
         "uri": "@parameters('endpointUrlParam')",
         "authentication": {
            "type": "ManagedServiceIdentity",
            "audience": "https://management.azure.com/"
         },
      },
      "runAfter": {}
   }
   

   受控連接器觸發程序和動作

   屬性 (設計工具)	Required	價值	說明
   連線名稱	Yes	< 連線名稱>
   受控識別	Yes	系統指派的管理身份 或 < 使用者指派之管理身分名稱>	要使用的驗證類型

封鎖由特定連接器建立的連線

如果您的組織不允許使用 Azure Logic Apps 中的連接器連線到特定資源，您可以使用 Azure 原則，封鎖在邏輯應用程式工作流程中為特定連接器建立這些連線的功能。 如需詳細資訊，請參閱封鎖 Azure Logic Apps 中特定連接器所建立的連線。

邏輯應用程式的隔離指引

• 您可以在 Azure Government 中使用 Azure Logic Apps，以支援 Azure Government 影響等級 5 隔離指引中所述區域中的所有影響層級。 為了滿足這些需求，Azure Logic Apps 支援在具有專用資源的環境中建立和執行工作流程的功能，以便減少邏輯應用程式上其他 Azure 租用戶造成的效能影響，並避免與其他租用戶共用運算資源。

• 標準邏輯應用程式工作流程可以透過您為輸入流量設定的私人端點，以及用於輸出流量的虛擬網路整合，私密且安全地與 Azure 虛擬網路通訊。 如需詳細資訊，請參閱使用私人端點保護虛擬網路與單一租用戶 Azure Logic Apps 之間的流量。

• 若要執行您自己的程式碼或執行 XML 轉換，請建立及呼叫 Azure 函式，而不是使用內嵌程式碼功能，或分別提供元件做為對應。 此外，請為您的函式應用程式設定裝載環境，以符合隔離需求。

  例如，若要滿足影響層級 5 需求，請透過使用 [隔離] 定價層的 App Service 方案建立函式應用程式，並搭配使用 [隔離] 定價層的 App Service 環境 (ASE)。 在此環境中，函式應用程式會在專用的 Azure 虛擬機器和專用 Azure 虛擬網路上執行，以在應用程式計算隔離之上提供網路隔離，以及最大擴增容量。

  欲了解更多資訊，請參閱：

  • Azure App 服務 方案
  • Azure Functions 網路選項
  • 虛擬機器的 Azure 專用主機
  • Azure 中的虛擬機器隔離
  • 將專用 Azure 服務部署至虛擬網路

關於隔離的更多資訊，請參見：

• Azure 公用雲端中的隔離
• Azure 中高度敏感性 IaaS 應用程式的安全性

相關內容

• Azure Logic Apps 的 Azure 安全性基準。
• 自動化 Azure Logic Apps 的部署。
• 監控邏輯應用程式。