使用托管标识从 Azure 逻辑应用到 Azure Function 进行身份验证

Question

我正在尝试为逻辑应用程序和 Azure 函数配置安全性。 Azure Functions 有一个 HTTP 触发器。 到目前为止，我已经完成了以下工作：

1. 创建了具有一些基本功能的 Azure Functions（在请求中写入查询到日志）。
2. 创建了逻辑应用程序（重复触发器，HTTP 来触发 Azure 函数）
3. 测试逻辑应用程序成功调用 Azure 函数
4. 向逻辑应用程序添加了托管标识
5. 在 Azure Function App 上启用 Azure AD 身份验证/授权，并使用在 Azure AD 中为 Function App 创建应用程序注册的快速配置。
6. 在逻辑应用程序的 HTTP 操作中添加了托管标识作为身份验证方法。

当我运行逻辑应用程序时，它显示 HTTP 操作失败，因为它未经授权。 谁能告诉我我错过了什么？ 我找到了一些关于如何使用类似方法访问 KeyVault（例如）的教程，但没有找到关于 Azure 函数的教程。 我觉得我需要告诉应用程序注册逻辑应用程序的托管标识具有权限，但我不知道这是否正确，也不知道该怎么做。

Answer 1

首先，要克服当前在逻辑应用程序调用 Azure 函数时遇到的未经授权的错误，您需要确保逻辑应用程序正在获取令牌以正确地对函数进行身份验证。

我快速尝试了一个带有托管标识的逻辑应用程序，就像您的设置一样，以调用启用了 Azure AD 身份验证的 Azure 函数。 以下是要遵循的详细步骤。

1. 在您的逻辑应用程序中添加一个 HTTP 操作，用于调用您的 Azure 函数
2. 在我的例子中，这是一个简单的 GET 调用，其 URL 类似于https://<myfunctionapp>.azurewebsites.net/api/simplefunction
3. 在身份验证中选择Managed Identity

4. 然后添加新参数并选中Audience复选框

   

5. 将Audience参数的值更改为函数应用的 Azure AD 应用注册的 APP ID URI。 在我的例子中，这个值看起来像https://<myazureadtenant>.onmicrosoft.com/GUID

   您可以从 Azure 门户 > Azure AD > 应用注册 > 注册您的函数应用 > 设置 > 属性中找到此应用程序 ID URI 值

   

此时，你应该能够测试你的逻辑应用程序，并且至少可以正常调用 Azure Functions（除非你的 Azure Functions 仅限于某些调用者或需要特定权限，稍后会详细介绍。）

以下是完整的 HTTP 操作在我的案例中的样子。

接下来，一旦从逻辑应用程序（使用托管标识）到您的 Azure 函数的基本调用得到正确的身份验证，问题是任何应用程序是否应该能够调用您的 Azure 函数，或者是否应该只允许具有特定权限的某些调用者。

我在这篇 SO 帖子中用 2 种方法详细回答了这部分 - 有没有办法保护只能从特定 Azure 逻辑应用程序调用的 Azure 函数？ . 该答案中的第二种方法非常明确，如果您的功能需要，您甚至可以为不同类型的调用者创建多个不同的应用程序角色。