azure - 使用 Azure 数据工厂和逻辑应用时，访问已被条件访问策略阻止

Question

我正在尝试通过 ADF 管道触发逻辑应用工作流。我已在 ADF Web 事件中提供了逻辑应用程序的 URL，但仍然抛出错误消息，例如:GetSpnAuthenticationToken:处理访问 token 请求时失败，并出现错误:无法使用服务主体获取访问 token 。错误:invalid_grant，错误消息:AADSTS53003:访问已被条件访问策略阻止。访问策略不允许颁发 token 。

如何解决这个问题？

Answer 1

使用 Azure 数据工厂和逻辑应用时，访问已被条件访问策略阻止

GetSpnAuthenticationToken: Failed while processing request for access token with error: Failed to get access token by using service principal. Error: invalid_grant, Error Message: AADSTS53003: Access has been blocked by Conditional Access policies. The access policy does not allow token issuance.

上述错误是因为 Azure Active Directory 中的全局管理员启用了条件访问策略，该策略阻止访问逻辑应用以从 Azure 数据工厂 (ADF) 检索访问 token 。

解决问题:

必须审查和修改 Azure Active Directory 中的条件访问策略，以便允许为 Azure 数据工厂使用的服务主体颁发 token 。

• 使用具有管理条件访问规则所需权限的帐户登录。 (全局管理员)
• 导航到 Azure Active Directory (AAD) >> 安全 >> 条件访问。
• 检查当前的条件访问政策，查找任何可能阻止 Azure 数据工厂服务主体颁发 token 的政策。
• 更改该政策或制定一项新政策以允许服务主体颁发 token 。您可以将服务主体从所应用的条件访问策略中排除。
• 保存条件访问政策更改并重试。

有关条件访问策略的更多信息，请参阅以下文档:

• azure-docs/articles/active-directory/conditional-access/howto-conditional-access-policy-block-access.md at main · MicrosoftDocs/azure-docs · GitHub
• https://www.argos-security.io/2021/11/29/how-to-secure-an-azure-service-principal-with-conditional-access/