如何为Azure Logic App（标准版）添加访问策略保护HTTP触发器？

标准版Logic App的HTTP触发器授权配置逻辑和消费版不同，没有直接的"授权设置"面板，你可以通过以下几种方式实现Azure AD保护：

方法1：利用触发器内置身份验证配置 #

• 打开标准版Logic App设计器，选中HTTP触发器，点击右上角的三点图标选择设置
• 在设置面板中找到身份验证选项，选择Azure Active Directory作为身份验证类型
• 配置关键参数：
  • 租户：填入你的Azure AD租户ID
  • 受众：可填写Logic App的客户端ID，或自定义的受众标识（需和令牌中的aud字段匹配）
  • 颁发者：固定格式为 https://login.microsoftonline.com/{你的租户ID}/v2.0
• 保存配置后，触发器会自动验证请求中携带的Azure AD访问令牌有效性，无效请求会被直接拦截

方法2：通过API管理（APIM）代理实现精细控制 #

如果需要更灵活的权限规则（如角色授权、令牌校验逻辑定制），可以通过APIM代理Logic App：

• 在Azure API管理中创建新API，将后端服务指向你的标准版Logic App HTTP触发器URL
• 在APIM的API身份验证设置中启用OAuth 2.0，关联你的Azure AD应用注册
• 配置验证策略，确保只有携带有效Azure AD令牌的请求才能被转发至Logic App
• 这种方式适合企业级多应用统一授权管理场景

方法3：自定义令牌验证逻辑 #

如果上述两种方式不满足需求，可通过自定义逻辑验证令牌：

• 在Azure AD中注册一个应用程序，记录其客户端ID和租户ID
• 在Logic App的HTTP触发器后添加条件操作，或引入Azure函数作为中间层
• 调用Azure AD令牌 introspect 端点验证请求头中Authorization字段的令牌有效性，仅当验证通过时继续执行后续流程

注意事项 #

• 标准版Logic App HTTP触发器默认处于匿名状态，必须手动配置身份验证才能启用保护
• 使用内置身份验证时，务必保证令牌的受众（aud）与配置值一致，否则会验证失败
• 若使用APIM代理，需确保APIM实例与Logic App处于同一区域或网络连通，避免延迟问题

内容的提问来源于stack exchange，提问作者Ian Lundberg