Terraform部署Teams的Azure API Connection需手动认证的解决方案咨询

问题描述 #

我正在部署用于LogicApp向Teams频道发送数据的Azure API Connection，尽管API Connection与LogicApp部署正常，但连接缺少授权，需手动进入LogicApp或API Connection页面完成用户登录认证。

我使用Terraform结合AzAPI provider进行部署，配置JSON如下：

{"displayName": "Microsoft Teams",
"authenticatedUser": {
    "name": "mail@my.com"
},
"overallStatus": "Connected",
"statuses": [
    {
        "status": "Connected"
    }
],
"connectionState": "Enabled",
"parameterValues": {
    "username": "mail@my.com",
    "password": "MY_STRONG_PASSWORD"
},
"customParameterValues": {},
"api": {
    "name": "teams",
    "displayName": "Microsoft Teams",
    "description": "Microsoft Teams enables you to get all your content, tools and conversations in the Team workspace with Office 365.",
    "iconUri": "https://connectoricons-prod.azureedge.net/releases/v1.0.1619/1.0.1619.3185/teams/icon.png",
    "brandColor": "#4B53BC",
    "category": "Standard",
    "id": "/subscriptions/${subscription_id}/providers/Microsoft.Web/locations/${location}/managedApis/teams",
    "type": "Microsoft.Web/locations/managedApis"
},
"testLinks": [
    {
        "requestUri": "https://management.azure.com:443/subscriptions/${subscription_id}/resourceGroups/${resource_group_name}/providers/Microsoft.Web/connections/teams-1/extensions/proxy/beta/me/teamwork?api-version=2018-07-01-preview",
        "method": "get"
    }
],
"testRequests": [
    {
        "body": {
            "request": {
                "method": "get",
                "path": "beta/me/teamwork"
            }
        },
        "requestUri": "https://management.azure.com:443/subscriptions/${subscription_id}/resourceGroups/${resource_group_name}/providers/Microsoft.Web/connections/teams-1/dynamicInvoke?api-version=2018-07-01-preview",
        "method": "POST"
    }
]
}

我已指定authenticatedUser，但尝试在authenticatedUser和parameterValues中配置密码均无效。现咨询：能否通过配置用户密码实现免手动授权？或是否可使用服务主体进行该连接的认证？

解答 #

1. 能否通过用户密码实现免手动授权？ #

不能。Microsoft Teams连接器采用OAuth 2.0授权框架，不支持直接通过硬编码用户密码完成自动认证。该流程要求交互式的用户登录（可能包含MFA验证、权限同意步骤），仅通过parameterValues中的password参数无法绕过手动授权环节，这是出于安全合规和OAuth流程设计的限制。

2. 是否可使用服务主体进行认证？ #

可以。Teams标准连接器支持通过服务主体（应用权限）完成认证，无需手动用户登录。具体配置要点如下：

• 在Azure AD中注册应用，为其添加Teams相关的应用权限（例如ChannelMessage.Send、Group.ReadWrite.All等，根据业务需求选择并完成管理员同意）；
• 修改Terraform的AzAPI配置，调整认证相关字段，示例片段：

"authenticatedUser": {
    "type": "ServicePrincipal",
    "name": "<服务主体应用ID>"
},
"parameterValues": {
    "tenantId": "<Azure AD租户ID>",
    "clientId": "<服务主体应用ID>",
    "clientSecret": "<服务主体客户端密钥>"
}

• 确保部署时服务主体的密钥有效，且已获得所需的Teams API权限同意。

内容的提问来源于stack exchange，提问作者Diego Satizabal