如何通过OAuth2.0认证调用Logic Apps（标准版）？含APIM场景

一、APIM使用系统托管身份调用的配置 #

1. 确定authentication-managed-identity策略的resource值
   由于Logic Apps标准版的执行权限基于Azure RBAC管控，需将resource设置为Azure管理平面端点：

   <authentication-managed-identity resource="https://management.azure.com/" output-token-variable-name="msi-access-token" ignore-error="false" />
   

2. 在请求中携带令牌
   在后续send-request策略里，将获取到的令牌放入Authorization请求头：

   <set-header name="Authorization" exists-action="override">
       <value>Bearer {{msi-access-token}}</value>
   </set-header>
   

3. 权限验证
   确认已为APIM的系统托管身份在Logic Apps标准版资源（或其父资源组/订阅）范围内分配了Logic App Contributor角色。

二、应用注册通过客户端凭据流调用的配置 #

1. 应用注册与权限分配
   • 在Entra ID中创建应用注册，记录客户端ID、客户端密钥（或证书）。
   • 为该应用注册在Logic Apps标准版资源范围内分配Logic App Contributor角色（或自定义权限更小的角色）。
2. 获取有效令牌
   请求令牌时，指定scope为https://management.azure.com/.default，请求参数示例：

   POST https://login.microsoftonline.com/{租户ID}/oauth2/v2.0/token
   Content-Type: application/x-www-form-urlencoded
   
   client_id={应用ID}&client_secret={客户端密钥}&grant_type=client_credentials&scope=https://management.azure.com/.default
   

3. 调用工作流
   将获取到的令牌放入Authorization头，调用手动触发器URL：

   POST {工作流手动触发URL}
   Authorization: Bearer {获取到的令牌}
   

三、通用OAuth2.0调用Logic Apps（标准版）的核心要点 #

• 权限基础：所有调用方（托管身份/应用注册）都需通过Azure RBAC获得执行权限，推荐使用Logic App Contributor角色，或自定义包含Microsoft.Logic/workflows/triggers/manual/run/action动作的最小权限角色。
• 令牌范围：无论使用哪种身份，请求令牌时的目标资源均为https://management.azure.com/，客户端凭据流需追加.default作为scope（即https://management.azure.com/.default）。
• 触发器配置：确保Logic Apps标准版的手动触发器已启用Azure Active Directory身份验证类型。

内容的提问来源于stack exchange，提问作者Killianti