如何为Azure托管身份授权，以访问Azure REST API查询标准逻辑应用操作结果？

你遇到的Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/actions/read权限缺失问题，需要直接在目标Standard Logic App资源上为Azure Function的托管身份分配对应权限，具体操作步骤如下：

1. 明确权限范围 #

该API操作对应的权限属于Standard Logic App的运行时资源范畴，权限标识符为Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/actions/read。

2. 配置路径：Standard Logic App的「访问控制(IAM)」 #

在Azure门户中完成以下操作：

• 定位到目标Standard Logic App资源
• 左侧导航栏选择「访问控制(IAM)」
• 点击「添加」→「添加角色分配」
  • 角色选择：
    • 若接受较宽权限，可直接选择内置角色「Logic App Contributor」
    • 若需最小权限，需创建自定义角色（步骤见下文）
  • 成员选择：切换到「托管身份」选项，找到你的Azure Function对应的系统分配/用户分配托管身份
  • 确认并完成角色分配，等待5-10分钟让权限生效

3. 自定义最小权限角色创建（可选） #

如果需要严格遵循最小权限原则，创建仅包含目标权限的自定义角色：

• 进入Azure门户的「订阅」或目标「资源组」的「访问控制(IAM)」→「角色」→「新建自定义角色」
• 切换到「JSON」编辑模式，修改权限部分为：

  "actions": [
    "Microsoft.Web/sites/hostruntime/webhooks/api/workflows/runs/actions/read"
  ],
  "notActions": [],
  "dataActions": [],
  "notDataActions": []
  

• 完成角色创建后，回到Standard Logic App的IAM页面，将该自定义角色分配给Azure Function的托管身份

4. 权限验证 #

重新获取托管身份的访问令牌，调用目标API即可正常查询Standard Logic App的失败操作记录。

内容的提问来源于stack exchange，提问作者joelraymondgraves