新增 Microsoft Entra 驗證以從 Azure Logic Apps 呼叫自訂 API。

適用於：Azure Logic Apps (使用量)

若要改善對 API 發出呼叫的安全性，您可以透過 Azure 入口網站設定 Microsoft Entra 驗證，如此便不需要更新您的程式碼。 或者，您可以透過您的 API 程式碼要求並強制執行驗證。

您可以使用下列方式新增驗證：

• 無程式碼變更：透過 Azure 入口網站使用 Microsoft Entra ID 來保護您的 API，因此您不需要更新程式碼或重新部署您的 API。

  注意

  根據預設，您在 Azure 入口網站中選取的 Microsoft Entra 驗證不提供精細的授權。 例如，這項驗證會將您的 API 鎖定為僅限特定租用戶，而非特定使用者或應用程式。

• 更新你的 API 程式碼：透過程式碼強制執行 憑證認證 或 Microsoft Entra 認證 來保護你的 API。

驗證對 API 的呼叫，不需要變更程式碼

以下是這個方法的一般步驟：

1. 建立兩個 Microsoft Entra 應用程式身份（應用程式註冊）：一個用於你的 Logic 應用程式資源，另一個用於你的網頁應用程式（或 API 應用程式）。

2. 若要驗證對您 API 的呼叫，請使用與您邏輯應用程式 Microsoft Entra 應用程式身分識別相關聯之服務主體的認證 (用戶端 ID 與祕密)。

3. 將應用程式識別碼包含在邏輯應用程式工作流程定義中。

第 1 部分：為您的邏輯應用程式建立 Microsoft Entra 應用程式身分識別

您的邏輯應用程式資源使用這個 Microsoft Entra 應用程式識別來對 Microsoft Entra ID 進行驗證。 你只需要為房客設定一次這個身份。 例如，儘管您可以為每個邏輯應用程式建立唯一的身分識別，但可以選擇讓所有的 Logic Apps 使用相同的身分識別。 您可以在 Azure 入口網站或使用 PowerShell 設定這些身分識別。

第 2 部分：為您的 Web 應用程式或 API 應用程式建立 Microsoft Entra 應用程式身分識別

如果已部署 web 應用程式或 API 應用程式，您就可以開啟驗證，並在 Azure 入口網站中建立應用程式識別碼。 否則，您可以在您使用 Azure Resource Manager 範本進行部署時開啟驗證。

在Azure 入口網站中為已部署的 Web 應用程式或 API 應用程式建立應用程式身分識別

1. 在 Azure 入口網站中，找出並選取您的 Web 應用程式或 API 應用程式。

2. 在 [設定] 下，選取 [驗證]>[新增識別提供者]。

3. 在 [新增識別提供者] 窗格開啟後，在 [基本] 索引標籤的 [識別提供者] 清單中，選取 [Microsoft] 以使用 Microsoft Entra 身分識別，然後選取 [新增]。

4. 現在建立 Web 應用程式或 API 應用程式的應用程式識別碼，如下所示：

   1. 針對 [應用程式註冊類型]，請選取 [建立新的應用程式註冊]。

   2. 針對 [名稱]，請提供應用程式身分識別的名稱。

   3. 針對 [支援的帳戶類型]，請選取適合您案例的帳戶類型。

   4. 針對 [限制存取]，請選取 [需要驗證]。

   5. 針對 [未驗證的要求]，請根據您的案例選取選項。

   6. 完成後，選取 [新增]。

   在 身份提供者 區塊中，您的網頁應用程式或 API 應用程式的新應用程式識別碼現在會出現：

   

   提示

   如果應用程式身分識別未出現，請在工具列上選取 [重新整理]。

現在，您必須為剛建立的 Web 應用程式或 API 應用程式找出應用程式身分識別的應用程式 (用戶端) ID 與租用戶 ID。 您可以在第 3 部分中使用這些識別碼。 因此，繼續執行 Azure 入口網站的下列步驟。

在 Azure 入口網站中，為您的 Web 應用程式或 API 應用程式找出應用程式身分識別的用戶端 ID 與租用戶 ID

1. 在你的網頁應用程式選單中 ，管理選項中，選擇 認證。

2. 在 身份提供者 區塊中，找到你先前建立的應用程式身份。 選擇應用程式身份名稱。

   

3. 在 概覽 頁面，找到 應用程式（客戶端）ID 與 目錄（租戶）ID 的數值。 複製與儲存要在第 3 部分使用的值。

   

   您也可以視需要在您的 Web 應用程式或 API 應用程式的部署範本中使用租用戶識別碼 GUID。 此 GUID 是您特定租用戶的 GUID (「租用戶 ID」)，且應該會出現在此 URL：https://sts.windows.net/<tenant-GUID>

在您使用 Azure Resource Manager 範本進行部署時設定驗證

若您使用 Azure Resource Manager 範本 (ARM 範本)，您仍須為 Web 應用程式或 API 應用程式建立 Microsoft Entra 應用程式身分識別，其與邏輯應用程式的應用程式身分識別不同。 若要建立應用程式身分識別，然後尋找用戶端識別碼與租用戶識別碼，請遵循第 2 部分中有關Azure 入口網站的之前步驟。 您將在應用程式的部署範本和第 3 部分中使用用戶端識別碼和租用戶識別碼。

取得用戶端識別碼和租用戶識別碼後，請在部署範本中納入這些識別碼，作為 Web 應用程式或 API 應用程式的子資源：

"resources": [
   {
      "apiVersion": "2015-08-01",
      "name": "web",
      "type": "config",
      "dependsOn": ["[concat('Microsoft.Web/sites/','parameters('webAppName'))]"],
      "properties": {
         "siteAuthEnabled": true,
         "siteAuthSettings": {
            "clientId": "<client-ID>",
            "issuer": "https://sts.windows.net/<tenant-ID>/"
         }
      }
   }
]

若要自動隨著 Microsoft Entra 驗證部署空白 Web 應用程式和邏輯應用程式，請檢視這裡的完整範本，或選取以下的 [部署至 Azure] 按鈕：

第 3 部分：填入邏輯應用程式中的授權區段

前一個範本已設定此授權區段，但如果您要直接撰寫邏輯應用程式定義，則必須包含完整的授權區段。

1. 在程式碼檢視中開啟邏輯應用程式定義。

2. 前往 HTTP 動作定義、尋找 [授權] 區段，並包含下列屬性：

{
   "tenant": "<tenant-ID>",
   "audience": "<client-ID-from-Part-2-web-app-or-API app>",
   "clientId": "<client-ID-from-Part-1-logic-app>",
   "secret": "<secret-from-Part-1-logic-app>",
   "type": "ActiveDirectoryOAuth"
}

例如：

{
   "actions": {
      "HTTP": {
         "inputs": {
            "method": "POST",
            "uri": "https://your-api-azurewebsites.net/api/your-method",
            "authentication": {
               "tenant": "tenant-ID",
               "audience": "client-ID-from-azure-ad-app-for-web-app-or-api-app",
               "clientId": "client-ID-from-azure-ad-app-for-logic-app",
               "secret": "key-from-azure-ad-app-for-logic-app",
               "type": "ActiveDirectoryOAuth"
            }
         }
      }
   }
}

透過程式碼保護 API 呼叫

憑證驗證

若要驗證邏輯應用程式工作流程傳入 Web 應用程式或 API 應用程式中的要求，您可以使用用戶端憑證。 如需設定程式碼，請了解如何設定 TLS 相互驗證。

在 [授權] 區段中，納入以下屬性：

{
   "type": "ClientCertificate",
   "password": "<password>",
   "pfx": "<long-pfx-key>"
}

基本驗證

若要驗證邏輯應用程式傳入 Web 應用程式或 API 應用程式中的要求，您可以使用基本驗證，例如使用者名稱和密碼。 雖然基本認證是常見的模式，且你可以在任何用於建置網頁應用程式或 API 應用程式的語言中使用此認證，但務必使用可用或支援的最佳認證等級。

在 [授權] 區段中，納入以下屬性：

{
   "type": "Basic",
   "username": "<username>",
   "password": "<password>"
}

透過程式碼進行 Microsoft Entra 驗證

根據預設，您在 Azure 入口網站中開啟的 Microsoft Entra 驗證不提供精細的授權。 例如，這項驗證會將您的 API 鎖定為僅限特定租用戶，而非特定使用者或應用程式。

若要限制 API 透過程式碼存取您的邏輯應用程式，請擷取具有 JSON Web 權杖 (JWT) 的標頭。 檢查呼叫者的身分識別，並拒絕不相符的要求。

下一步

• 從邏輯應用程式工作流程部署和呼叫自訂 API