如何限制Logic App仅允许指定Azure App Service的托管身份访问

1. 为Logic App的HTTP触发器启用Azure AD身份验证 #

• 打开Logic App的HTTP触发器配置页面，开启Azure AD身份验证，设置为「仅允许Azure AD认证的请求」，未通过AD认证的请求会直接被拦截。
• 配置对应的Azure AD应用注册（可自动生成），确保认证范围覆盖触发器访问权限。

2. 给App Service的系统托管身份分配Logic App访问权限 #

• 进入Logic App的「访问控制(IAM)」页面，添加角色分配：
  • 角色选择Logic App Contributor（若需要更严格的权限，可创建仅允许触发操作的自定义角色）
  • 分配目标选择「托管标识」，找到你的App Service对应的系统托管身份并完成添加。

3. 调整App Service的调用代码 #

• 在调用Logic App时，通过系统托管身份获取访问令牌，令牌的受众（audience）需匹配Logic App的AD应用客户端ID或触发器专属标识。
• C#示例代码：

var credential = new DefaultAzureCredential();
var token = await credential.GetTokenAsync(
    new TokenRequestContext(new[] { "<Logic-App-AD-App-Client-ID>/.default" })
);

using var client = new HttpClient();
client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token.Token);
var response = await client.PostAsync("<Logic-App-Trigger-URL>", yourRequestContent);

4. 验证访问限制效果 #

• 使用未授权方式（比如直接用Postman调用触发器URL）会返回401未授权错误；
• 通过App Service的托管身份调用时，可正常触发Logic App。

内容的提问来源于stack exchange，提问作者Mo B.