Azure：如何从ADF触发受网络限制的Logic App（标准模式）

核心问题分析 #

你遇到的DirectApiInvalidAuthorizationScheme错误，主要来自两个配置问题：

1. 手动添加的Authorization请求头与ADF托管身份自动生成的令牌冲突
2. 资源参数使用了ARM API的https://management.azure.com，而非Logic App触发器所需的受众资源

修正步骤 #

1. 调整ADF Web活动的核心配置 #

打开ADF的Web活动，做以下修改：

• 移除手动添加的Authorization请求头：ADF启用系统托管身份后，会自动获取并注入针对Logic App的有效Bearer令牌，手动添加会导致令牌重复或不匹配。
• 修正资源参数：将资源值改为https://<你的Logic App名称>.azurewebsites.net（替换为实际名称），或通用受众https://logic.azure.com，确保令牌的受众与Logic App触发器匹配。
• 修复请求体格式：将请求体改为有效的JSON格式：{"foo": "bar"}，避免因格式错误引发额外问题。

2. 确保Logic App触发器启用Azure AD身份验证 #

进入标准Logic App的工作流，打开手动触发器的设置：

• 在「身份验证」区域选择「Azure Active Directory」
• 配置对应的租户信息，确保允许ADF系统托管身份所在的租户访问
• 确认Logic App的IAM权限：ADF的系统托管身份已拥有Logic App Contributor或Logic App Operator角色（你已配置Contributor，满足要求）

3. 验证专用端点连通性 #

• 确认ADF与Logic App的专用端点处于同一虚拟网络，或通过虚拟网络对等互联连通
• 可通过ADF的测试连接功能，验证是否能访问Logic App的专用端点

替代方案：使用ADF专属的Azure Logic Apps活动 #

如果Web活动配置仍有问题，推荐使用ADF内置的「Azure Logic Apps」活动，配置更简单：

• 在ADF管道中添加「Azure Logic Apps」活动
• 选择目标Logic App实例和对应的工作流
• 身份验证选择「系统分配托管身份」
• 按需配置请求体，活动会自动处理身份认证和网络连通

验证方法 #

保存ADF管道配置后触发测试运行，通过以下方式确认结果：

• 查看ADF活动运行日志，确认无认证错误
• 检查Logic App的运行历史，确认工作流已被成功触发

内容的提问来源于stack exchange，提问作者Raphael Fritz