使用托管身份连接Log Analytics时Logic App部署失败求助

错误原因 #

你遇到的WorkflowManagedIdentityConfigurationInvalid错误，核心问题是创建的API连接未配置托管身份认证，仅为普通连接，但工作流参数里指定了ManagedServiceIdentity认证方式，两者不匹配导致校验失败。

修正步骤及完整代码 #

1. 调整API连接配置（启用托管身份） #

需要在Microsoft.Web/connections资源中添加apiAuthentication属性，明确指定使用系统分配的托管身份：

resource logConnection 'Microsoft.Web/connections@2016-06-01' = {
  name: 'azuremonitorlogs-cdn'
  location: resourceGroup().location
  properties: {
    displayName: 'azuremonitorlogs-cdn'
    customParameterValues: {}
    statuses: [
      {
        status: 'Ready'
      }
    ]
    api: {
      id: subscriptionResourceId('Microsoft.Web/locations/managedApis', resourceGroup().location, 'azuremonitorlogs')
      name: 'azuremonitorlogs' // 需与managedApi的官方名称一致，不要自定义后缀
      displayName: 'Azure Monitor Logs'
      type: 'Microsoft.Web/locations/managedApis'
    }
    // 新增：配置托管身份认证
    apiAuthentication: {
      type: 'ManagedServiceIdentity'
    }
    testLinks: []
  }
}

2. 修正工作流的连接参数 #

工作流参数中的connectionName必须与API连接的名称（azuremonitorlogs-cdn）完全一致，同时确保身份认证配置匹配：

resource logMonitor 'Microsoft.Logic/workflows@2019-05-01' = {
  name: 'workflow-cdn-log-monitor'
  location: resourceGroup().location
  identity: {
    type: 'SystemAssigned'
  }
  properties: {
    state: 'Enabled'
    definition: {
      '$schema': 'https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#'
      contentVersion: '1.0.0.0'
      parameters: {
        '$connections': {
          defaultValue: {}
          type: 'Object'
        }
      }
      triggers: {
        // 保留你的原有触发器配置
      }
      actions: {
        Run_query_and_list_results: {
          runAfter: {}
          type: 'ApiConnection'
          inputs: {
            host: {
              connection: {
                name: '@parameters(\'$connections\')[\'azuremonitorlogs\'][\'connectionId\']'
              }
            }
            method: 'post'
            body: 'AzureDiagnostics | where Category == \'FrontDoorAccessLog\'\n'
            path: '/queryData'
            queries: {
              subscriptions: subscription().subscriptionId
              resourcegroups: resourceGroup().name
              resourcetype: 'Microsoft.OperationalInsights/workspaces' // 使用完整ARM资源类型，而非显示名称
              resourcename: 'log-cdn'
              timerange: 'Last 4 hours'
            }
          }
        }
      }
      outputs: {}
    }
    parameters: {
      '$connections': {
        value: {
          azuremonitorlogs: {
            id: subscriptionResourceId('Microsoft.Web/locations/managedApis', resourceGroup().location, 'azuremonitorlogs')
            connectionId: logConnection.id
            connectionName: logConnection.name // 引用连接资源名称，避免硬编码错误
            connectionProperties: {
              authentication: {
                type: 'ManagedServiceIdentity'
              }
            }
          }
        }
      }
    }
  }
}

3. 额外校验点 #

• 确认工作流的系统分配身份已被授予目标Log Analytics工作区的Log Analytics Reader角色权限
• 部署时无需手动批准连接，托管身份认证不需要用户交互授权
• 工作流定义中resourcetype必须使用完整ARM资源类型Microsoft.OperationalInsights/workspaces，不能用显示名称Log Analytics Workspace

内容的提问来源于stack exchange，提问作者Erwin