如何保障Azure Logic App的HTTP Request Trigger触发访问安全

你可以根据业务场景选择以下一种或多种组合方案实现访问限制：

• 配置IP访问白名单
  进入Logic App的「设置」-「网络」配置页，将触发访问的允许来源设置为「特定IP范围」，仅添加你Web应用的出口IP段到白名单中，其余IP的触发请求会被直接拦截。如果Web应用同样部署在Azure中，也可以直接选择允许「Azure服务」内部访问，免去手动维护IP列表的工作量。
• 限制SAS令牌使用范围
  HTTP触发器默认生成的访问URL已经包含SAS签名，你可以自定义签名的有效时间、允许访问的IP范围、支持的HTTP方法等参数，缩小签名的适用范围。如果发现URL泄露，直接在触发器配置页重新生成签名，原有URL会立即失效。
• 开启Azure AD身份校验
  在HTTP触发器设置中启用「Azure Active Directory 身份验证」，要求所有调用请求必须在请求头中携带Azure AD颁发的合法访问令牌才能触发运行。你可以为你的Web应用分配专属的服务主体，仅授予该服务主体Logic App的调用权限，无权限的身份即使持有完整URL也无法触发执行。
• 增加自定义请求校验规则
  在Logic App触发流程的第一步添加自定义校验逻辑，要求Web应用调用时必须在请求头或请求体中携带双方约定的加密校验值，不符合校验规则的请求直接终止运行并返回403状态码。
• 关闭公网访问入口
  如果你的Web应用和Logic App都部署在同一Azure租户内部，可将Logic App配置为内网访问模式，关闭公网触发入口，仅允许VNet内部的服务调用，从根源上避免公网的非法访问请求。

内容的提问来源于stack exchange，提问作者Darshani Jayasekara