非生产环境Azure Logic Apps调用REST端点TLS问题咨询

标准开发测试流程 #

• 全链路参数化配置：将REST端点地址、认证凭据、TLS相关规则全部配置为环境级参数，和工作流业务逻辑解耦，开发、测试、生产环境分别维护独立的参数集，切换环境时不需要修改工作流本身的逻辑，避免配置错漏带到生产。
• 本地优先验证业务逻辑：使用Logic Apps Standard本地运行时在开发机上运行工作流，先调试请求格式、参数映射、响应处理、异常分支这些纯业务逻辑，把逻辑问题排查完再做云端连通性测试，减少云端调试的成本。
• 分层做连通性验证：业务逻辑验证通过后，先对接配置了正规受信证书的测试环境端点，跑通全链路的鉴权、请求、响应流程，最后再适配开发环境的特殊TLS配置，不要把TLS连通性问题和业务逻辑问题混在一起排查，降低排错难度。

开发环境非受信CA证书场景的可行解决方案 #

开发环境用自签证书、内部私有CA证书导致Logic Apps TLS握手失败的问题，可根据自己用的Logic Apps托管类型选对应方案，按推荐优先级排序：

• 优先给开发环境端点配置免费受信证书
  目前公开CA提供的DV级单域名/泛域名证书完全免费，只要开发环境的端点有可解析的域名（哪怕是内部解析的二级域名），都可以申请到受信证书部署，和生产环境的TLS校验规则完全一致，不会出现环境配置差异导致的隐性问题，长期维护成本最低。
• Standard层Logic Apps上传自定义根证信任
  如果你使用的是Standard计划的Logic Apps，可以把开发环境用的私有CA根证书、自签证书的公钥，上传到Logic Apps实例的公共证书存储，在HTTP操作的TLS配置里选择信任自定义上传的证书，不需要关闭证书校验即可正常完成TLS握手，安全性有保障。注意Consumption计划的Logic Apps不支持自定义信任存储，这个方案不适用。
• 开发环境前置反向代理做TLS终结
  如果用的是Consumption计划Logic Apps，又不想更换开发端点的证书，可以在开发环境REST端点前部署一层反向代理，给反向代理配置受信CA颁发的证书，Logic Apps的请求全部发往反向代理地址，由反向代理转发到后端REST端点，不需要修改Logic Apps侧的任何TLS校验逻辑。
• 本地调试临时跳过证书校验
  仅在本地运行Logic Apps调试逻辑的场景，可以修改本地运行时的local.settings.json配置，添加参数"Workflows.HttpClient.IgnoreServerCertificateErrors": true临时跳过TLS证书校验，快速验证业务逻辑。严禁将该配置用于任何云端部署的Logic Apps实例，包括云端的开发环境，会引入中间人攻击的安全风险。

重要提醒：所有针对开发环境做的TLS特殊适配，必须通过环境参数做严格隔离，确保生产环境的Logic Apps工作流始终开启严格的TLS证书链校验、域名校验，禁止任何跳过证书验证的配置流向生产。

内容的提问来源于stack exchange，提问作者Rajan Prasad