Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Azure Logic Apps is een service waarmee u eenvoudig beheerde werkstromen kunt maken in een omgeving zonder code die kan worden geïntegreerd met verschillende externe services en systemen. Werkstromen helpen bij het automatiseren van een breed scala aan bedrijfsprocessen, zoals gegevensintegratie, gegevensverwerking en gebeurtenisgestuurde scenario's. Logic Apps kan worden geïntegreerd met andere openbare en cloudservices. Of gebruik Logic Apps met on-premises toepassingen en services. Integratie met het privénetwerk stelt de service niet bloot aan het publiek met port forwarding of een traditionele omgekeerde proxy.
In dit artikel worden de stappen beschreven die nodig zijn voor het gebruik van de Microsoft Entra-toepassingsproxyoplossing om veilige toegang te bieden tot een logische app, terwijl de interne toepassing wordt beschermd tegen ongewenste actoren. Het proces en het eindresultaat zijn vergelijkbaar met Access on-premises API's met Microsoft Entra-toepassingsproxy , met speciale aandacht voor het gebruik van de API vanuit een logische app.
Overzicht
In het volgende diagram ziet u een traditionele manier om on-premises API's te publiceren voor toegang vanuit Azure Logic Apps. Voor deze aanpak moeten binnenkomende TCP-poorten (Transmission Control Protocol) 80 en/of 443 worden geopend voor de API-service.
In het volgende diagram ziet u hoe u de Microsoft Entra-toepassingsproxy kunt gebruiken om API's veilig te publiceren voor gebruik met Logic Apps (of andere Azure Cloud-services) zonder binnenkomende poorten te openen:
De Microsoft Entra-toepassingsproxy en de bijbehorende connector vergemakkelijken veilige autorisatie en integratie met uw on-premises services zonder meer configuratie voor uw netwerkbeveiligingsinfrastructuur.
Vereisten
U hebt het volgende nodig om deze zelfstudie te volgen:
- Beheerderstoegang tot een Azure-directory met een account waarmee apps kunnen worden gemaakt en geregistreerd
- De Logic App Contributor-rol (of hoger) in een actieve tenant
- Azure Private Network-connector geïmplementeerd en een applicatie geconfigureerd zoals gedetailleerd in Een on-premises app toevoegen - toepassingsproxy in Microsoft Entra ID
Notitie
Hoewel het verlenen van een gebruikersrechten en het testen van de aanmelding wordt aanbevolen, is dit niet vereist voor deze handleiding.
De toepassingstoegang configureren
Wanneer er een nieuwe ondernemingstoepassing wordt gemaakt, wordt er ook een overeenkomende app-registratie gemaakt. De app-registratie maakt configuratie van beveiligde programmatische toegang mogelijk met behulp van certificaten, geheimen of federatieve referenties. Voor integratie met een logische app configureert u een clientgeheimsleutel en configureert u de API-machtigingen.
Meld u aan bij het Microsoft Entra-beheercentrum als tenminste een Toepassingsbeheerder.
Blader naar Identiteit>Toepassingen>App-registraties.
Selecteer in het venster App-registraties de tabbladoptie Alle toepassingen .
Navigeer naar de toepassing met een overeenkomende naam voor de geïmplementeerde toepassingsproxytoepassing. Als u voorbeeld-app 1 bijvoorbeeld hebt geïmplementeerd als een ondernemingstoepassing, selecteert u het registratie-item voorbeeld-app 1.
Notitie
Als een gekoppelde toepassing niet kan worden gevonden, is deze mogelijk niet automatisch gemaakt of verwijderd. U kunt een registratie maken met behulp van de knop Nieuwe registratie .
Noteer op de detailpagina van de Sample App 1 de velden Application (client) ID en Directory (tenant) ID.
Selecteer de menuopdracht API-machtigingen in het navigatiedeelvenster.
Selecteer de knop Een machtiging toevoegen.
Selecteer de API's die door mijn organisatie worden gebruikt .
Zoek uw app op naam (bijvoorbeeld voorbeeld-app 1) en selecteer het item.
Zorg ervoor dat Gedelegeerde machtigingen is ingeschakeld en schakel het selectievakje voor user_impersonation in.
Selecteer Machtigingen toevoegen.
Controleer of de geconfigureerde machtiging wordt weergegeven.
Selecteer het menu-item Certificaten en geheimen in het navigatiedeelvenster.
Selecteer het tabblad Clientgeheimen .
Klik op de knop Nieuwe clientsleutel.
Vanuit het pop-upvenster Een clientsleutel toevoegen.
Voer een beschrijving en gewenste vervaldatum in.
Selecteer Toevoegen.
Controleer of het nieuwe clientgeheim wordt weergegeven.
Selecteer de knop Kopiëren voor de waarde van het zojuist gemaakte geheim. Sla het geheim veilig op voor later gebruik. Deze waarde wordt slechts één keer weergegeven.
De Logic App configureren
Open vanuit de logische app de ontwerpweergave .
Selecteer een gewenste trigger (als hierom wordt gevraagd).
Voeg een nieuwe stap toe en selecteer de HTTP-bewerking .
Methode: Selecteer de gewenste HTTP-methode die naar de interne API moet worden verzonden.
URI: Vul de openbare FQDN (Fully Qualified Domain Name) in van uw toepassing die is geregistreerd in Microsoft Entra ID, samen met de andere URI die is vereist voor API-toegang (bijvoorbeeld sampleapp1.msappproxy.net/api/1/status).
Notitie
Specifieke waarden voor API zijn afhankelijk van uw interne toepassing.
Headers: voer de gewenste headers in die naar de interne API moeten worden verzonden.
Query's: voer de gewenste query's in die naar de interne API moeten worden verzonden.
Hoofdtekst: Voer de inhoud van de gewenste hoofdtekst in die naar de interne API moet worden verzonden.
Cookie: Voer alle gewenste cookies in die naar de interne API moeten worden verzonden.
Selecteer Nieuwe parameter toevoegen en controleer vervolgens Verificatie.
Selecteer Microsoft Entra ID OAuth in het verificatietype.
Vul voor de verificatie de volgende details in.
Instantie: Voer in https://login.windows.net.
Tenant: Voer de Directory (tenant) ID in die is genoteerd in Applicatietoegang configureren.
Doelgroep: Voer de openbare FQDN in van uw toepassing die is geregistreerd in Microsoft Entra-id (bijvoorbeeld sampleapp1.msappproxy.net).
Client-id: voer de toepassings-id (client) in die is genoteerd in De toepassingstoegang configureren.
Referentietype: geheim.
Geheim: Voer de geheime waarde in die wordt vermeld in De toepassingstoegang configureren.
Sla de logica-app op en test deze met uw trigger.
Waarschuwingen
API's waarvoor verificatie/autorisatie is vereist, vereisen speciale verwerking bij het gebruik van deze methode. Omdat OAuth van Microsoft Entra-id wordt gebruikt voor toegang, bevatten de verzonden aanvragen al een autorisatieveld dat de interne API niet kan gebruiken (tenzij eenmalige aanmelding is geconfigureerd). Als tijdelijke oplossing bieden sommige toepassingen verificatie of autorisatie die andere methoden dan een autorisatieheader gebruiken. GitLab staat bijvoorbeeld een header met de titel PRIVATE-TOKEN toe en Atlassian Jira maakt het mogelijk om een cookie aan te vragen die kan worden gebruikt in latere aanvragen.
De HTTP-actie van de Logic App toont tekst in leesbare vorm. Sla de geheime sleutel voor app-registratie echter op in Azure Key Vault voor veilig ophalen en gebruiken.