如何通过Terraform的azapi_resource为Logic App添加API连接访问策略

API连接的访问策略并非存储在连接自身的JSON配置中，而是通过Azure RBAC权限控制实现的。手动添加访问策略后看不到连接配置变化，就是因为这些权限记录在Azure的IAM系统里，而非连接资源属性中。

要让Logic App能够调用API连接，只需为Logic App的托管身份（系统分配或用户分配）授予对应API连接的API Connection Invoker角色权限即可，无需修改azapi_resource的配置内容。

具体Terraform实现步骤 #

1. 针对系统分配托管身份的Logic App
   假设你的Logic App资源定义为azurerm_logic_app_workflow.my_logic_app，为其分配API连接的调用权限：

# 为Storage API连接添加Logic App的调用权限
resource "azurerm_role_assignment" "logic_app_storage_connection_invoker" {
  scope                = azapi_resource.storage.id
  role_definition_name = "API Connection Invoker"
  principal_id         = azurerm_logic_app_workflow.my_logic_app.identity[0].principal_id
}

# 同理，为Sendgrid API连接添加权限
resource "azurerm_role_assignment" "logic_app_sendgrid_connection_invoker" {
  scope                = azapi_resource.sendgrid.id # 替换为你的Sendgrid API连接资源ID
  role_definition_name = "API Connection Invoker"
  principal_id         = azurerm_logic_app_workflow.my_logic_app.identity[0].principal_id
}

# 为SQL Server API连接添加权限
resource "azurerm_role_assignment" "logic_app_sql_connection_invoker" {
  scope                = azapi_resource.sql.id # 替换为你的SQL API连接资源ID
  role_definition_name = "API Connection Invoker"
  principal_id         = azurerm_logic_app_workflow.my_logic_app.identity[0].principal_id
}

2. 针对用户分配托管身份的Logic App
   如果使用用户分配的托管身份，只需将principal_id替换为用户分配身份的ID即可：

resource "azurerm_role_assignment" "logic_app_storage_connection_invoker" {
  scope                = azapi_resource.storage.id
  role_definition_name = "API Connection Invoker"
  principal_id         = azurerm_user_assigned_identity.my_uai.principal_id # 替换为你的用户分配身份ID
}

关键说明 #

• API Connection Invoker是Azure内置的角色，专门用于授予调用API连接的权限，权限范围最小化，符合安全最佳实践。
• 权限分配生效后，Logic App即可通过托管身份认证调用对应的API连接，无需在连接配置中额外设置访问策略。
• 若需要更细粒度的权限控制，也可以自定义角色，仅包含Microsoft.Web/connections/invoke/action这个权限动作。

内容的提问来源于stack exchange，提问作者GeTee