azure - 使用托管标识从逻辑应用调用受 Azure AD 保护的 API

Question

我们有一个托管在本地的 Azure AD Protect API。我们需要从逻辑应用程序调用此 API。我们目前已在应用程序注册中为此逻辑应用程序创建或注册了一个新的客户端应用程序，并提供了必要的权限并调用了传递 Bearer Token 的 API。

我的问题是，我们是否可以利用逻辑应用的托管身份(用户分配或系统分配)来调用 API？

Answer 1

是的，有。我写了一篇关于该主题的文章(尽管它不是特定于逻辑应用程序):https://joonasw.net/view/calling-your-apis-with-aad-msi-using-app-permissions .

您需要创建一个appRoleAssignment，为您的托管身份服务主体授予应​​用程序权限。为此，我们必须使用 PowerShell 或 Microsoft Graph API。与Azure AD PowerShell ，我们可以这样做:

Connect-AzureAD

New-AzureADServiceAppRoleAssignment -ObjectId $miSpId -Id $appRoleId -PrincipalId $miSpId -ResourceId $targetApiSpId

我们需要找到 3 个参数:

1. miSpId:托管身份的 objectId(很简单，我们可以从逻辑应用中的“身份” Blade 找到它)
2. appRoleId:API list 中定义的 appRole ID(这也应该很容易找到，它位于 API list 中)
   • 如果您尚未在 API 上定义 appRole(应用权限)，则需要先执行此操作 ( https://joonasw.net/view/defining-permissions-and-roles-in-aad )
3. targetApiSpId:目标 API 服务主体的 objectId(您可以通过转到企业应用程序并在那里找到您的 API 来获取此 ID)