使用托管標識從邏輯應用調用 Azure AD 保護的 API

Question

我們有一個托管在本地的 Azure AD Protect API。 我們需要從 Logic App 調用此 API。 我們目前在應用注冊中為此邏輯應用創建或注冊了一個新的客戶端應用，並提供了必要的權限並調用了傳遞承載令牌的 API。

我的問題是，有沒有一種方法可以利用邏輯應用程序的托管標識（用戶分配的或系統分配的）來調用 API？

Answer 1

就在這里。 我寫了一篇關於這個主題的文章（雖然它不是特定於邏輯應用程序）： https : //joonasw.net/view/calling-your-apis-with-aad-msi-using-app-permissions 。

您將需要創建一個appRoleAssignment ，為您的托管標識服務主體提供應用程序權限。 為此，我們必須使用 PowerShell 或 Microsoft Graph API。 使用Azure AD PowerShell ，我們可以做到：

Connect-AzureAD

New-AzureADServiceAppRoleAssignment -ObjectId $miSpId -Id $appRoleId -PrincipalId $miSpId -ResourceId $targetApiSpId

我們需要找到 3 個參數：

1. miSpId：托管標識的對象標識（很簡單，我們可以從邏輯應用程序的標識刀片中找到它）
2. appRoleId：在您的 API 清單中定義的 appRole id（這也應該很容易找到，它在您的 API 清單中）
   • 如果您尚未在 API 上定義 appRole（應用權限），則需要先執行此操作 ( https://joonasw.net/view/defining-permissions-and-roles-in-aad )
3. targetApiSpId：目標 API 服務主體的 objectId（您可以通過轉到 Enterprise Applications 並在那里找到您的 API 來獲得該對象）