Azure Logic Apps'te iş akışları için güvenli erişim ve veri

Azure Logic Apps, Azure Depolama kullanarak duran verileri depolar ve otomatik olarak şifreler. Bu şifreleme, verilerinizi Microsoft tarafından yönetilen anahtarlar kullanarak korur ve organizasyon güvenlik ve uyum taahhütlerinizi yerine getirmenize yardımcı olur. Daha fazla bilgi için Durağan veriler için Azure Depolama şifrelemesi sayfasına bakın.

Bu rehber, Azure Logic Apps için aşağıdaki ana alanlarda hassas verileri nasıl daha fazla güvence altına alabileceğinizi ve koruyabileceğinizi gösterir:

Görev	Git
İş akışlarını kimlerin yönetebileceğini veya düzenleyebileceğini kontrol edin	Güvenli mantık uygulaması işlemleri
Girişleri, çıktıları, şifreleri ve sırları çalışma geçmişinde gizle	Güvenli çalışma geçmişi verileri
Ortamlar arasında parametre değerlerini koruma	Güvenli parametre girişleri
Kimlik doğrulama türlerini anlamak	İş akışı işlemleri için kimlik doğrulama türlerini gözden geçirin
İş akışınızı başlatan çağrıları kimlik doğrulama	Güvenli gelen çağrılar
İş akışınızın gönderdiği çağrıların kimliğini doğrulayın	Güvenli çıkış çağrıları
Belirli bağlayıcıları engelle	Bağlantıları engelle
İzolasyon gereksinimlerini karşılamak	İzolasyon rehberliği
Güvenlik temelini gözden geçir	Azure Logic Apps için Azure Güvenlik Temeli

Azure genelinde güvenlik hakkında bilgi için bkz:

Azure RBAC ile mantık uygulaması işlemlerine güvenli erişim

Azure'da, rol tabanlı erişim kontrolü (RBAC), kaynaklarla çalışma için kimlerin erişimi ve izinleri olduğunu kontrol eder. Başkaları mantıklı uygulamalar, iş akışları ve bağlantılar yaratabilmeden veya yönetebilmeden önce, onlara gerekli izinleri sağlayan bir rol atamanız gerekir. Yalnızca belirli kullanıcıların veya grupların belirli görevleri çalıştırabileceği izinler, örneğin mantık uygulamalarını yönetme, düzenleme ve görüntüleme gibi görevleri ayarlayabilirsiniz. İzinlerini kontrol etmek için, Azure aboneliğinize erişimi olan üyelere yerleşik veya özelleştirilmiş roller ata.

Important

Saldırı yüzeyinizi azaltmak için, rolleri her zaman en az ayrıcalık prensibine göre atayın.

Bir rol atamadan önce, aşağıdaki en iyi uygulamaları, dikkate alınan unsurları ve etkileri gözden geçirin:

Kullanıcıların, uygulamaların ve yönetilen kimliklerinsadece işlerini yapmak için ihtiyaç duydukları verilere ve işlemlere erişmelerine izin verin.
En az ayrıcalığa dayalı olarak katkıda bulunan roller veya iş akışı düzenleme izinlerini yalnızca güvenilir yöneticilere atamak.
Mantık uygulaması iş akışlarında yönetilen kimliklerin işlerini yapabilmeleri için yalnızca gerekli minimum izinleri ata.
Katkıda bulunan veya iş akışı düzenleme izinleri, o iş akışına atanan her yönetilen kimlik için izinleri elinde tutmak anlamına gelir.
Katkıda bulunan veya iş akışı düzenleme iznine sahip herkes, yönetilen kimlikleri kullanarak herhangi bir hedef kitlesi için kimlik taşıyıcı tokenlar talep eden HTTP yerleşik işlemler kurabilir. Bu tokenlarla istekleri herhangi bir uç noktaya veya hedefe gönderebilirler. Platform varış noktasını kısıtlamıyor. Taşıyıcı tokenlar bir saat geçerlidir ve kimliklerinin ulaşabileceği herhangi bir Azure API'ye erişebilir.

Azure Logic Apps, Tüketim veya Standart iş akışına bağlı olarak aşağıdaki özel rollere sahiptir:

Tüketim iş akışları

Rol	Description
Logic App Katkıda Bulunan	Mantıksal uygulama iş akışlarını yönetebilirsiniz, ancak bunlara erişimi değiştiremezsiniz.
Mantıksal Uygulama İşleci	Mantıksal uygulama iş akışlarını okuyabilir, etkinleştirebilir ve devre dışı bırakabilirsiniz, ancak bunları düzenleyemez veya güncelleştiremezsiniz.
Katkıda Bulunan	Tüm kaynakları yönetmek için tam erişiminiz vardır, ancak Azure RBAC'de rol atayamaz, Azure Blueprints'te atamaları yönetemez veya görüntü galerilerini paylaşamazsınız.

Örneğin, oluşturmadığınız bir mantık uygulaması iş akışı ile çalışmanız ve o mantık uygulaması iş akışının kullandığı bağlantıları doğrulamanız gerekiyor. Azure aboneliğiniz, bu mantıksal uygulama kaynağını içeren kaynak grubu için Katkıda Bulunan yetkileri gerektirir. Bir mantık uygulaması kaynağı oluşturursanız, otomatik olarak Contributor erişimine sahip olursunuz.

Başkalarının mantık uygulaması iş akışınızı değiştirmesini veya silmesini önlemek için Azure Resource Lock kullanın. Bu özellik, başkalarının üretim kaynaklarını değiştirmesini veya silmesini engeller. Bağlantı güvenliği hakkında daha fazla bilgi için Bkz . Azure Logic Apps'te bağlantı yapılandırması ve Bağlantı güvenliği ve şifreleme.

Standart iş akışları

Rol	Description
Logic Apps Standart Okuyucu	Standart bir mantık uygulaması ve iş akışlarındaki tüm kaynaklara, iş akışı çalıştırmaları ve bunların geçmişi dahil olmak üzere, salt okunur erişiminiz vardır.
Logic Apps Standard Operatör	Standart mantıksal uygulama için iş akışlarını etkinleştirme, yeniden gönderme ve devre dışı bırakma ve hizmetlere, sistemlere ve ağlara bağlantılar oluşturma erişiminiz vardır. operatör rolü, Azure Logic Apps platformunda yönetim ve destek görevlerini gerçekleştirebilir, ancak iş akışlarını veya ayarları düzenleme izinlerine sahip değildir.
Logic Apps Standard Geliştirici	Standart mantıksal uygulama için iş akışları, bağlantılar ve ayarlar oluşturma ve düzenleme erişiminiz vardır. Geliştirici rolünün iş akışları kapsamı dışında değişiklik yapma izinleri yoktur; örneğin, sanal ağ tümleştirmesini yapılandırma gibi uygulama genelindeki değişiklikler. App Service Planları desteklenmez.
Logic Apps Standard katkıcı	Standart mantıksal uygulamanın tüm yönlerini yönetme erişiminiz vardır, ancak erişimi veya sahipliği değiştiremezsiniz.

İş akışı çalışma geçmişine erişim

Bir iş akışı çalıştırması sırasında, tüm veriler aktarım sırasında Aktarım Katmanı Güvenliği (TLS) kullanılarak ve beklemedeyken şifrelenir. Mantıksal uygulamanızın çalışması tamamlandığında, her eylemin durumu, süresi, girişleri ve çıkışlarıyla birlikte çalışan adımlar da dahil olmak üzere bu çalıştırmanın geçmişini görüntüleyebilirsiniz. Bu zengin ayrıntı, mantıksal uygulamanızın nasıl çalıştığına ve ortaya çıkan sorunları gidermeye nereden başlayacağınıza ilişkin içgörü sağlar.

Mantıksal uygulamanızın çalıştırma geçmişini görüntülediğinizde, Azure Logic Apps erişiminizin kimliğini doğrular ve ardından her çalıştırma için istek ve yanıtlara yönelik giriş ve çıkışlara bağlantılar sağlar. Ancak, parolaları, gizli dizileri, anahtarları veya diğer hassas bilgileri işleyen eylemler için, başkalarının bu verileri görüntülemesini ve bunlara erişmesini engellemek istersiniz. Örneğin, mantıksal uygulamanız bir HTTP eyleminin kimliğini doğrularken kullanmak üzere Azure Key Vault'tan gizli dizi alırsa, bu gizli diziyi görünümden gizlemek istersiniz.

İş akışı çalışma geçmişinizdeki giriş ve çıktılara erişimi kontrol etmek için aşağıdaki seçenekleri kullanın:

ERIŞIMI IP adresi aralığına göre kısıtlayın.

Bu seçenek, belirli bir IP adresi aralığından gelen isteklere göre çalıştırma geçmişine erişimin güvenliğini sağlamanıza yardımcı olur.
Gizlemeyi kullanarak çalışma geçmişindeki verilerin güvenliğini sağlayın.

Birçok tetikleyicide ve eylemde, bir mantıksal uygulamanın çalıştırma geçmişindeki girişlerin, çıkışların veya her ikisinin güvenliğini sağlayabilirsiniz.

IP adresi aralığına göre erişimi kısıtlama

Yalnızca belirli IP adresi aralıklarından gelen isteklerin bu verileri görüntüleyebilmesi için mantıksal uygulama iş akışlarınızın çalıştırma geçmişindeki giriş ve çıkışlara erişimi sınırlayabilirsiniz.

Örneğin, girişlere ve çıkışlara herkesin erişmesini engellemek için gibi 0.0.0.0-0.0.0.0bir IP adresi aralığı belirtin. Mantıksal uygulama iş akışlarınızdaki verilere "tam zamanında" erişim olanağı sağlayan bu kısıtlamayı yalnızca yönetici izinlerine sahip bir kişi kaldırabilir. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.

İzin verilen IP aralıklarını belirtmek için, Azure portalında veya Azure Resource Manager şablonunuzda Tüketim veya Standart mantıksal uygulamanız için şu adımları izleyin:

Portal
Resource Manager Şablonu

Tüketim iş akışları

Azure portalında Tüketim mantıklı uygulama iş akışınızı tasarım aracında açın.
Mantık uygulamasının yan panelinde, Ayarlar altında İş Akışı ayarlarını seçin.
Erişim denetimi yapılandırması bölümünde, İzin verilen gelen IP adresleri'nin altında, Erişimi tetikle seçeneği listesinden Belirli IP aralıkları'nı seçin.
İçindekiler için IP aralıkları kutusunda, giriş ve çıkışlardan içeriğe erişebilecek IP adresi aralıklarını belirtin.

Standart iş akışları

Azure portalında Standart mantıksal uygulama kaynağınızı açın.
Mantık uygulamasının yan panelinde, Ayarlar altında Ağ iletişimi seçeneğini belirleyin.
Gelen trafik yapılandırması bölümünde, Genel ağ erişimi kısmında, Erişim kısıtlaması olmadan etkinleştirildi'yi seçin.
Erişim kısıtlamaları sayfasındaki Uygulama erişimi'nin altında, belirli sanal ağlar ve IP adresleri arasından Etkin'i seçin.
Site erişimi ve kuralları altında, Ana site sekmesinde, belirli IP aralıklarından gelen isteklere izin ver veya reddet'e bir veya daha fazla kural ekleyin. HTTP üst bilgi filtresi ayarlarını ve iletme ayarlarını da kullanabilirsiniz. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.

Daha fazla bilgi için bkz. Azure Logic Apps'te gelen IP adreslerini engelleme (Standart).

Tüketim iş akışları

ARM şablonunuzda, mantıksal uygulamanızın kaynak tanımındaki bölümü içeren accessControl bölümünü kullanarak contents IP aralıklarını belirtin, örneğin:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {<workflow-definition>},
            "parameters": {},
            "accessControl": {
               "contents": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     },
                     {
                        "addressRange": "2001:0db8::/64"
                     }
                  ]
               }
            }
         }
      }
   ],
   "outputs": {}
}

Standart iş akışları

ARM şablonunuzda, Microsoft.Web/sites/config bölümünü kullanarak mantıksal uygulamanızın kaynağının tanımında izin verilen gelen IP adresi aralıklarını belirtin. Bu bölümde, altında propertiesbölümünü ekleyin ipSecurityRestrictions ve , ipAddress, action="Deny" | "Allow", tag=Defaultve bölümlerini kullanarak prioritybir kural tanımlayın ve name="Ports" izin verilen IP aralığını ipAddress veya x.x.x.x.x.x biçiminde ayarlayın, örneğin:

{
   "type": "Microsoft.Web/sites/config",
   "apiVersion": "2022-09-01",
   "name": "[concat(parameters('sites_My_Standard_Logic_App_name'), '/web')]",
   "location": "West US",
   "dependsOn": [
      "[resourceId('Microsoft.Web/sites', parameters('sites_My_Standard_Logic_App_name'))]"
   ],
   "tags": {
      "hidden-link: /app-insights-resource-id": "/subscriptions/{subscriptionID}/resourceGroups/Standard-RG/providers/Microsoft.Insights/components/My-Standard-Logic-App"
   },
   "properties": {
      "numberOfWorkers": 1,
      "defaultDocuments": [
         "Default.htm",
         "Default.html",
         "Default.asp",
         "index.htm",
         "index.html",
         "iisstart.htm",
         "default.aspx",
         "index.php"
      ],
      "netFrameworkVersion": "v6.0",
      "requestTracingEnabled": false,
      "remoteDebuggingEnabled": false,
      "httpLoggingEnabled": false,
      "acrUseManagedIdentityCreds": false,
      "logsDirectorySizeLimit": 35,
      "detailedErrorLoggingEnabled": false,
      "publishingUsername": "$My-Standard-Logic-App",
      "scmType": "None",
      "use32BitWorkerProcess": false,
      "webSocketsEnabled": false,
      "alwaysOn": false,
      "managedPipelineMode": "Integrated",
      "virtualApplications": [
         {
            "virtualPath": "/",
            "physicalPath": "site\\wwwroot",
            "preloadEnabled": false
         }
      ],
      "loadBalancing": "LeastRequests",
      "experiments": {
         "rampUpRules": []
      },
      "autoHealEnabled": false,
      "vnetRouteAllEnabled": false,
      "vnetPrivatePortsCount": 0,
      "publicNetworkAccess": "Enabled",
      "cors": {
         "supportCredentials": false
      },
      "localMySqlEnabled": false,
      "managedServiceIdentityId": 3065,
      "ipSecurityRestrictions": [
         {
            "ipAddress": "208.130.0.0/16",
            "action": "Deny",
            "tag": "Default",
            "priority": 100,
            "name": "Ports"
         },
         {
            "ipAddress": "Any",
            "action": "Deny",
            "priority": 2147483647,
            "name": "Deny all",
            "description": "Deny all access"
         }
      ],
      "ipSecurityRestrictionsDefaultAction": "Deny",
      "scmIpSecurityRestrictions": [
         {
            "ipAddress": "Any",
            "action": "Allow",
            "priority": 2147483647,
            "name": "Allow all",
            "description": "Allow all access"
         }
      ],
      "scmIpSecurityRestrictionsDefaultAction": "Allow",
      "scmIpSecurityRestrictionsUseMain": false,
      "http20Enabled": false,
      "minTlsVersion": "1.2",
      "scmMinTlsVersion": "1.2",
      "ftpsState": "FtpsOnly",
      "preWarmedInstanceCount": 1,
      "functionAppScaleLimit": 0,
      "functionsRuntimeScaleMonitoringEnabled": true,
      "minimumElasticInstanceCount": 1,
      "azureStorageAccounts": {}
   }
},

Gizleme kullanarak çalışma geçmişindeki verilerin güvenliğini sağlama

Birçok tetikleyici ve eylem, bir mantıksal uygulamanın çalıştırma geçmişinden girişleri, çıkışları veya her ikisini de güvenli bir şekilde güvenlik altına almak için ayarlara sahiptir. Tüm yönetilen bağlayıcılar ve özel bağlayıcılar bu seçenekleri destekler. Ancak, aşağıdaki yerleşik işlemler bu seçenekleri desteklemez:

Güvenli Girişler - Desteklenmeyen	Güvenli Çıkışlar - Desteklenmiyor
Dizi değişkenine ekle Dize değişkenine ekle Azaltma değişkeni Her bir Eğer Artış değişkeni Değişkeni başlatma Yinelenme Kapsam Değişken ayarlama Şalter Bitirmek Kadar	Dizi değişkenine ekle Dize değişkenine ekle Yazmak Azaltma değişkeni Her bir Eğer Artış değişkeni Değişkeni başlatma JSON ayrıştırma Yinelenme Yanıt Kapsam Değişken ayarlama Şalter Bitirmek Bir süreye kadar Wait

Girişleri ve çıkışları güvenli hale getirmek için dikkat edilmesi gerekenler

Bu verilerin güvenliğini sağlamaya yardımcı olmak için bu ayarları kullanmadan önce şu noktaları gözden geçirin:

Bir tetikleyici veya eylemdeki girişleri veya çıkışları gizlediğinizde, Azure Logic Apps güvenli verileri Azure Log Analytics'e göndermez. Ayrıca, izleme için bu tetikleyiciye veya eyleme izlenen özellikler ekleyemezsiniz.
İş akışı geçmişini işlemeye yönelik Azure Logic Apps API'sinde güvenli çıkışlar döndürülmüyor.
Girişleri gizleyen veya çıkışları açıkça gizleyen bir eylemden gelen çıkışların güvenliğini sağlamak için, bu eylemde Güvenli Çıkışlar'ı el ile açın.
Çalıştırma geçmişinin bu verileri gizlemesini beklediğiniz aşağı akış eylemlerinde Güvenli Girişler veya Güvenli Çıkışlar'ı açtığınızdan emin olun.

Güvenli Çıkışlar ayarı

Bir tetikleyicide veya eylemde Güvenli Çıkışlar'ı el ile açtığınızda, Azure Logic Apps bu çıkışları çalıştırma geçmişinde gizler. Aşağı akış eylemi bu güvenli çıkışları açıkça giriş olarak kullanıyorsa, Azure Logic Apps bu eylemin girişlerini çalıştırma geçmişinde gizler, ancak eylemin Güvenli Girişler ayarını etkinleştirmez.

Oluştur, JSON Ayrıştır ve Yanıtla eylemleri yalnızca Güvenli Girişler ayarına sahiptir. Bu ayar açıldığında bu eylemlerin çıkışlarını da gizler. Bu eylemler yukarı akış güvenli çıkışlarını açıkça giriş olarak kullanıyorsa, Azure Logic Apps bu eylemlerin girişlerini ve çıkışlarını gizler, ancak bu eylemlerin Güvenli Girişler ayarını etkinleştirmez. Aşağı akış eylemi oluşturma,JSON Ayrıştırma veya Yanıt eylemlerinden gelen gizli çıkışları açıkça giriş olarak kullanıyorsa, Azure Logic Apps bu aşağı akış eyleminin girişlerini veya çıkışlarını gizlemez.

Güvenli Girişler ayarı

Bir tetikleyicide veya eylemde Güvenli Girişler'i el ile açtığınızda, Azure Logic Apps bu girişleri çalıştırma geçmişinde gizler. Aşağı akış eylemi bu tetikleyiciden veya eylemden gelen görünür çıkışları açıkça giriş olarak kullanıyorsa, Azure Logic Apps bu aşağı akış eyleminin girişlerini çalıştırma geçmişinde gizler, ancak bu eylemde Güvenli Girişleri etkinleştirmezve bu eylemin çıkışlarını gizlemez.

Compose, Parse JSON ve Response eylemleri, güvenli girdilere sahip tetikleyici veya eylemden gelen görünür çıktıları açıkça kullanıyorsa, Azure Logic Apps bu eylemlerin girdilerini ve çıktılarını gizler, ancak bu eylemlerin Secure inputs ayarını etkinleştirmez. Aşağı akış eylemi oluşturma,JSON Ayrıştırma veya Yanıt eylemlerinden gelen gizli çıkışları açıkça giriş olarak kullanıyorsa, Azure Logic Apps bu aşağı akış eyleminin girişlerini veya çıkışlarını gizlemez.

Tasarımcıda girişlerin ve çıkışların güvenliğini sağlama

Azure portalında mantıksal uygulama iş akışınızı tasarımcıda açın.
Tasarımcıda, hassas verilerin güvenliğini sağlamak istediğiniz tetikleyiciyi veya eylemi seçin.
Açılan bilgi bölmesinde Ayarlar'ı seçin ve Güvenlik'i genişletin.
Güvenli Girişler, Güvenli Çıkışlar veya her ikisini de açın.

Tetikleyici veya eylem artık başlık çubuğunda bir kilit simgesi gösterir. Önceki eylemlerden alınan güvenli çıkışları temsil eden tüm belirteçler kilit simgelerini de gösterir. Örneğin, sonraki bir eylemde, dinamik içerik listesinden güvenli bir çıkış için bir belirteç seçtikten sonra, bu belirteç bir kilit simgesi gösterir.
İş akışı çalıştırıldıktan sonra bu çalıştırmanın geçmişini görüntüleyebilirsiniz.
1. Mantıksal uygulama kenar çubuğunda Genel Bakış'ı seçin.
2. Çalıştırma geçmişi'nin altında, görüntülemek istediğiniz çalıştırmayı seçin.
3. İş akışı çalıştırma geçmişi bölmesinde gözden geçirmek istediğiniz eylemleri seçin.
  
  Hem girişleri hem de çıkışları gizlemeyi seçtiyseniz, bu değerler artık gizli görünür.

Kod görünümünde girişlerin ve çıkışların güvenliğini sağlama

Temel tetikleyicide veya eylem tanımında, diziyi runtimeConfiguration.secureData.properties şu değerlerden biriyle veya her ikisiyle de ekleyin veya güncelleştirin:

"inputs": Çalıştırma geçmişindeki girişlerin güvenliğini sağlar.
"outputs": Çalıştırma geçmişindeki çıkışların güvenliğini sağlar.

"<trigger-or-action-name>": {
   "type": "<trigger-or-action-type>",
   "inputs": {
      <trigger-or-action-inputs>
   },
   "runtimeConfiguration": {
      "secureData": {
         "properties": [
            "inputs",
            "outputs"
         ]
      }
   },
   <other-attributes>
}

Ortamlar arasında parametre girdilerine güvenli erişim

Farklı ortamlar arasında dağıtım yaparsanız, iş akışı tanımınızda bu ortamlara göre değişen değerleri parametreleştirmeyi göz önünde bulundurun. Mantık uygulamanızı Azure Resource Manager şablonu kullanarak dağıtarak, sabit kodlanmış verileri önleyebilir, hassas verileri güvenli parametreler tanımlayarak koruyabilir ve bu verileri şablonun parametreleri üzerinden ayrı girdiler olarak bir parametre dosyası kullanarak iletebilirsiniz.

Örneğin, Microsoft Entra Id ile OAuth ile HTTP eylemlerinin kimliğini doğrularsanız, kimlik doğrulaması için kullanılan istemci kimliğini ve istemci gizli dizisini kabul eden parametreleri tanımlayabilir ve gizleyebilirsiniz. Mantıksal uygulama iş akışınızda bu parametreleri tanımlamak için mantıksal uygulamanızın parameters iş akışı tanımındaki ve dağıtım için Resource Manager şablonundaki bölümü kullanın. Mantıksal uygulamanızı düzenlerken veya çalıştırma geçmişini görüntülerken gösterilmesini istemediğiniz parametre değerlerinin güvenliğini sağlamaya yardımcı olmak için securestring veya secureobject türünü kullanarak parametreleri tanımlayın ve gerektiğinde kodlamayı yazın. Bu türdeki parametreler kaynak tanımıyla döndürülmüyor ve dağıtımdan sonra kaynağı görüntülerken erişilebilir değil. Çalışma zamanı sırasında bu parametre değerlerine erişmek için iş akışı tanımınızın içindeki ifadeyi @parameters('<parameter-name>') kullanın. Bu ifade yalnızca çalışma zamanında değerlendirilir ve İş Akışı Tanım Dili tarafından açıklanır.

Note

Bir parametreyi istek başlığında veya gövdesinde kullanırsanız, bu parametre iş akışınızın çalışma geçmişini ve giden HTTP isteğini gördüğünüzde görünür olabilir. İçerik erişim ilkelerinizi de uygun şekilde ayarladığınızdan emin olun. Ayrıca, çalıştırma geçmişinizdeki girişleri ve çıkışları gizlemek için gizlemeyi de kullanabilirsiniz.

Varsayılan olarak, Authorization üst bilgiler girişler veya çıkışlar aracılığıyla görünmez. Orada bir sır kullanırsanız, o sırrı geri alamazsınız.

Daha fazla bilgi için bu makaledeki aşağıdaki bölümlere bakınız:

İş akışı tanımlarında parametreleri güvence altına alın.
Gizlemeyi kullanarak çalışma geçmişindeki verilerin güvenliğini sağlayın.

Eğer Resource Manager şablonlarını kullanarak mantıksal uygulamalar için dağıtımı otomatikleştirirseniz, ve securestring türlerini kullanarak dağıtımda değerlendirilen güvenli secureobject tanımlayabilirsiniz. Şablon parametrelerini tanımlamak için, iş akışı tanımınızın parameters bölümünden ayrı ve farklı olan şablonunuzun en üst düzey parameters bölümünü kullanın. Şablon parametrelerinin değerlerini sağlamak için ayrı bir parametre dosyası kullanın.

Örneğin, gizli diziler kullanıyorsanız, dağıtım sırasında Bu gizli dizileri Azure Key Vault'tan alan güvenli şablon parametreleri tanımlayabilir ve kullanabilirsiniz. Ardından parametre dosyanızda anahtar kasasına ve gizliye başvurabilirsiniz. Daha fazla bilgi için bakınız:

Azure Key Vault kullanarak dağıtımda hassas değerleri iletebilirsiniz.
Bu makalenin ilerleyen bölümlerinde Azure Resource Manager şablonlarında parametreleri güvence altına alın.

İş akışı tanımlarında parametrelerin güvenliğini sağlama (Tüketim iş akışı)

Mantıksal uygulamanızın iş akışı tanımındaki hassas bilgileri korumak için güvenli parametreler kullanın, böylece mantıksal uygulama iş akışınızı kaydettikten sonra bu bilgiler görünmez. Örneğin, temel kimlik doğrulama gerektiren bir HTTP eyleminiz olduğunu varsayalım, bu da kullanıcı adı ve şifre kullanıyor. İş akışı tanımında, parameters bölümü, basicAuthPasswordParam ve basicAuthUsernameParam parametrelerini securestring türünü kullanarak tanımlar. Eylem tanımı authentication bölümünde bu parametrelere daha sonra başvurur.

Important

En iyi güvenlik için, mümkün olduğunda kimlik doğrulama için yönetilen kimliklerle Microsoft Entra ID kullanın. Bu seçenek, kimlik bilgileri gerektirmeden üstün güvenlik sağlar. Azure bu kimliği yönetir ve bu hassas bilgileri yönetmek zorunda kalmamak için kimlik doğrulama bilgilerinin güvenli kalmasına yardımcı olur.

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

"definition": {
   "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
   "actions": {
      "HTTP": {
         "type": "Http",
         "inputs": {
            "method": "GET",
            "uri": "https://www.microsoft.com",
            "authentication": {
               "type": "Basic",
               "username": "@parameters('basicAuthUsernameParam')",
               "password": "@parameters('basicAuthPasswordParam')"
            }
         },
         "runAfter": {}
      }
   },
   "parameters": {
      "basicAuthPasswordParam": {
         "type": "securestring"
      },
      "basicAuthUsernameParam": {
         "type": "securestring"
      }
   },
   "triggers": {
      "manual": {
         "type": "Request",
         "kind": "Http",
         "inputs": {
            "schema": {}
         }
      }
   },
   "contentVersion": "1.0.0.0",
   "outputs": {}
}

Azure Resource Manager şablonlarında parametrelerin güvenliğini sağlama (Tüketim iş akışı)

Mantıksal uygulama kaynağı ve iş akışı için Resource Manager şablonunda birden çok parameters bölüm vardır. Parolaları, anahtarları, gizli dizileri ve diğer hassas bilgileri korumak için securestring veya secureobject türünü kullanarak şablon düzeyinde ve iş akışı tanımı düzeyinde güvenli parametreler tanımlayın. Ardından bu değerleri Azure Key Vault'ta depolayabilir ve anahtar kasasına ve gizli anahtara başvurmak için parametre dosyasını kullanabilirsiniz. Ardından, şablonunuz bu bilgileri dağıtım sırasında alır. Daha fazla bilgiyi incelemek için Azure Key Vault kullanarak dağıtımda hassas değerleri geçirme başlıklı belgeyi gözden geçirin.

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Bu liste, bu parameters bölümler hakkında daha fazla bilgi içerir:

Şablonun en üst düzeyinde bir parameters bölüm, şablonun dağıtımda kullandığı değerlerin parametrelerini tanımlar. Örneğin, bu değerler belirli bir dağıtım ortamı için bağlantı dizesi içerebilir. Daha sonra bu değerleri ayrı bir parametre dosyasında depolayabilirsiniz ve bu da bu değerleri değiştirmeyi kolaylaştırır.
Mantıksal uygulamanızın kaynak tanımının içinde, ancak iş akışı tanımınızın dışında bir parameters bölüm, iş akışı tanımınızın parametrelerinin değerlerini belirtir. Bu bölümde, şablonunuzun parametrelerine başvuran şablon ifadelerini kullanarak bu değerleri atayabilirsiniz. Bu ifadeler, dağıtım sırasında değerlendirilir.
İş akışı tanımınızın içinde bir parameters bölüm, mantıksal uygulama iş akışınızın çalışma zamanında kullandığı parametreleri tanımlar. Ardından, çalışma zamanında değerlendirilen iş akışı tanımı ifadelerini kullanarak mantıksal uygulamanızın iş akışı içinde bu parametrelere başvurabilirsiniz.

Türünü kullanan securestring birden çok güvenli parametre tanımına sahip bu örnek şablon:

Parametre adı	Description
`TemplatePasswordParam`	Daha sonra iş akışı tanımının `basicAuthPasswordParam` parametresine geçirilen bir parolayı kabul eden şablon parametresi
`TemplateUsernameParam`	Daha sonra iş akışı tanımının `basicAuthUserNameParam` parametresine geçirilen bir kullanıcı adını kabul eden şablon parametresi
`basicAuthPasswordParam`	HTTP eyleminde temel kimlik doğrulaması için parolayı kabul eden bir iş akışı tanımı parametresi
`basicAuthUserNameParam`	HTTP eyleminde temel kimlik doğrulaması için kullanıcı adını kabul eden bir iş akışı tanımı parametresi

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {
      "LogicAppName": {
         "type": "string",
         "minLength": 1,
         "maxLength": 80,
         "metadata": {
            "description": "Name of the Logic App."
         }
      },
      "TemplatePasswordParam": {
         "type": "securestring"
      },
      "TemplateUsernameParam": {
         "type": "securestring"
      },
      "LogicAppLocation": {
         "type": "string",
         "defaultValue": "[resourceGroup().location]",
         "allowedValues": [
            "[resourceGroup().location]",
            "eastasia",
            "southeastasia",
            "centralus",
            "eastus",
            "eastus2",
            "westus",
            "northcentralus",
            "southcentralus",
            "northeurope",
            "westeurope",
            "japanwest",
            "japaneast",
            "brazilsouth",
            "australiaeast",
            "australiasoutheast",
            "southindia",
            "centralindia",
            "westindia",
            "canadacentral",
            "canadaeast",
            "uksouth",
            "ukwest",
            "westcentralus",
            "westus2"
         ],
         "metadata": {
            "description": "Location of the Logic App."
         }
      }
   },
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
               "actions": {
                  "HTTP": {
                     "type": "Http",
                     "inputs": {
                        "method": "GET",
                        "uri": "https://www.microsoft.com",
                        "authentication": {
                           "type": "Basic",
                           "username": "@parameters('basicAuthUsernameParam')",
                           "password": "@parameters('basicAuthPasswordParam')"
                        }
                     },
                  "runAfter": {}
                  }
               },
               "parameters": {
                  "basicAuthPasswordParam": {
                     "type": "securestring"
                  },
                  "basicAuthUsernameParam": {
                     "type": "securestring"
                  }
               },
               "triggers": {
                  "manual": {
                     "type": "Request",
                     "kind": "Http",
                     "inputs": {
                        "schema": {}
                     }
                  }
               },
               "contentVersion": "1.0.0.0",
               "outputs": {}
            },
            "parameters": {
               "basicAuthPasswordParam": {
                  "value": "[parameters('TemplatePasswordParam')]"
               },
               "basicAuthUsernameParam": {
                  "value": "[parameters('TemplateUsernameParam')]"
               }
            }
         }
      }
   ],
   "outputs": {}
}

Kimlik doğrulamasını destekleyen bağlayıcılar için kimlik doğrulama türleri

Aşağıdaki tablo, bir kimlik doğrulama türü seçebileceğiniz bağlayıcı işlemlerinde kullanılabilen kimlik doğrulama türlerini tanımlar:

Doğrulama türü	Mantık uygulaması ve desteklenen konnektörler
Basic	Azure API Management, Azure Uygulama Hizmeti, HTTP, HTTP + Swagger, HTTP Web Kancası
İstemci sertifikası	Azure API Management, Azure Uygulama Hizmeti, HTTP, HTTP + Swagger, HTTP Web Kancası
Active Directory OAuth (Microsoft Entra Id ile OAuth 2.0)	- Tüketim: Azure API Management, Azure Uygulaması Hizmeti, Azure İşlevleri, HTTP, HTTP + Swagger, HTTP Web Kancası - Standart: Azure Otomasyonu, Azure Blob Depolama, Azure Event Hubs, Azure Kuyrukları, Azure Service Bus, Azure Tabloları, HTTP, HTTP Web Kancası, SQL Server
Çiğ	Azure API Management, Azure Uygulaması Hizmeti, Azure İşlevleri, HTTP, HTTP + Swagger, HTTP Web Kancası
Yönetilen kimlik	Yerleşik bağlayıcılar: - Tüketim: Azure API Management, Azure Uygulaması Hizmeti, Azure İşlevleri, HTTP, HTTP Web Kancası - Standart: Azure Otomasyonu, Azure Blob Depolama, Azure Event Hubs, Azure Kuyrukları, Azure Service Bus, Azure Tabloları, HTTP, HTTP Web Kancası, SQL Server Not: Şu anda en yerleşik, hizmet sağlayıcısı tabanlı bağlayıcılar kimlik doğrulaması için kullanıcı tarafından atanan yönetilen kimliklerin seçilmesini desteklememektedir. Yönetilen bağlayıcılar: Azure Uygulaması Hizmeti, Azure Otomasyonu, Azure Blob Depolama, Azure Container Instance, Azure Cosmos DB, Azure Veri Gezgini, Azure Data Factory, Azure Data Lake, Azure Event Grid, Azure Event Hubs, Azure IoT Central V2, Azure IoT Central V3, Azure Key Vault, Azure Log Analiz, Azure Kuyrukları, Azure Resource Manager, Azure Service Bus, Azure Sentinel, Azure Tablo Depolama, Azure VM, Microsoft Entra ID ile HTTP, SQL Server

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

İstek tabanlı tetikleyicilere gelen çağrılara erişim

Bir mantıksal uygulamanın İstek tetikleyicisi veya HTTP Web kancası tetikleyicisi gibi istek tabanlı bir tetikleyici aracılığıyla aldığı gelen çağrılar şifrelemeyi destekler ve daha önce Güvenli Yuva Katmanı (SSL) olarak bilinen Aktarım Katmanı Güvenliği (TLS) 1.2 ile en az güvenli hale getirilir. Azure Logic Apps, bir İstek tetikleyicisine gelen çağrı veya HTTP Webhook tetikleyicisi ya da eylemine geri çağırma işlevi alırken bu sürümü zorlar.

Note

TLS el sıkışma hataları alırsanız TLS 1.2 kullandığınızdan emin olun. Daha fazla bilgi için bkz . TLS 1.0 sorununu çözme.

Gelen çağrılar için aşağıdaki şifreleme paketlerini kullanın:

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384.
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256.
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384.
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256.
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384.
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256.
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384.
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256.

Important

Geriye dönük uyumluluk için Azure Logic Apps şu anda bazı eski şifreleme paketlerini desteklemektedir. Ancak, yeni uygulamalar geliştirirken eski şifreleme paketlerini kullanmayın çünkü bu tür paketler gelecekte desteklenmeyebilir .

Örneğin, Azure Logic Apps'te TLS el sıkışma iletilerini incelerseniz veya mantıksal uygulamanızın URL'sinde bir güvenlik aracı kullanarak aşağıdaki şifreleme paketlerini bulabilirsiniz. Yine şu eski paketleri kullanmayın :

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA.
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA.
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA.
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA.
TLS_RSA_WITH_AES_256_GCM_SHA384.
TLS_RSA_WITH_AES_128_GCM_SHA256.
TLS_RSA_WITH_AES_256_CBC_SHA256.
TLS_RSA_WITH_AES_128_CBC_SHA256.
TLS_RSA_WITH_AES_256_CBC_SHA.
TLS_RSA_WITH_AES_128_CBC_SHA.
TLS_RSA_WITH_3DES_EDE_CBC_SHA.

Aşağıdaki liste, yalnızca yetkili istemcilerin iş akışınızı çağırabilmesi için mantıksal uygulama iş akışınıza gelen çağrılar alan tetikleyicilere erişimi sınırlayabileceğiniz yolları içerir:

Microsoft Entra ID ile OAuth'u etkinleştirin.
Paylaşılan erişim imzası (SAS) anahtarları veya tokenları oluşturun.
Paylaşılan erişim imzası (SAS) doğrulamasını devre dışı bırakın.
Gelen IP adreslerini kısıtlayın.
Mantık uygulamanızı Azure API Management ile açığa çıkarın.

Microsoft Entra Id ile OAuth 2.0'ı etkinleştirme

İstek tabanlı tetikleyiciyle başlayan bir Tüketim iş akışında, Microsoft Entra Id ile OAuth 2.0'ı etkinleştirerek bu tetikleyici tarafından oluşturulan uç noktaya gönderilen gelen çağrıların kimliğini doğrulayabilir ve bu çağrıları yetkilendirirsiniz. Bu kimlik doğrulamasını ayarlamak için mantıksal uygulama kaynak düzeyinde bir yetkilendirme ilkesi tanımlayın veya ekleyin. Bu şekilde, gelen çağrılar yetkilendirme için OAuth erişim belirteçlerini kullanır.

Mantıksal uygulama iş akışınız OAuth erişim belirteci içeren bir gelen istek aldığında, Azure Logic Apps belirtecin taleplerini her yetkilendirme ilkesi tarafından belirtilen taleplerle karşılaştırır. Belirtecin talepleri ile en az bir ilkedeki tüm talepler arasında bir eşleşme varsa, gelen istek için yetkilendirme başarılı olur. Jeton, yetkilendirme ilkesi tarafından belirtilen sayıdan daha fazla hak talebi içerebilir.

İstek tetikleyicisiyle başlayan standart bir iş akışında (web kancası tetikleyicisi değil), yönetilen kimlik kullanarak İstek tetikleyicisi tarafından oluşturulan uç noktaya gönderilen gelen çağrıların kimliğini doğrulamak için Azure İşlevleri sağlamasını kullanabilirsiniz. Bu sağlama "Kolay Kimlik Doğrulaması" olarak da bilinir. Daha fazla bilgi için bkz . Easy Auth ile Standart mantıksal uygulamalarda iş akışlarını tetikleme.

Microsoft Entra Id ile OAuth 2.0'ı etkinleştirmeden önce dikkat edilmesi gerekenler

En iyi güvenlik için Microsoft, mümkün olduğunda kimlik doğrulaması için yönetilen kimliklerle Microsoft Entra Id kullanmanızı önerir. Bu seçenek, kimlik bilgileri gerektirmeden üstün güvenlik sağlar. Azure bu kimliği yönetir ve bu hassas bilgileri yönetmek zorunda kalmamak için kimlik doğrulama bilgilerinin güvenli kalmasına yardımcı olur. Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.
Tüketim iş akışlarında, istek tabanlı tetikleyici için uç nokta URL'sine gelen çağrılar, Microsoft Entra Kimliği veya Paylaşılan Erişim İmzası (SAS) ile OAuth 2.0 olmak üzere yalnızca bir yetkilendirme şeması kullanabilir. Bir düzenin kullanılması diğer düzeni devre dışı bırakmasa da, her iki düzeni de aynı anda kullanırsanız, hizmet hangi düzenin seçileceğini bilmediğinden Azure Logic Apps bir hata oluşturur. Tüketim iş akışınız İstek tetikleyicisiyle başlıyorsa, SAS kimlik doğrulamasını devre dışı bırakabilir ve yetkilendirmeyi yalnızca Microsoft Entra ID ile OAuth 2.0 kullanacak şekilde kısıtlayabilirsiniz. Standart iş akışları için SAS'yi devre dışı bırakmadan diğer kimlik doğrulama türlerini kullanabilirsiniz.
Azure Logic Apps, Microsoft Entra ID OAuth erişim belirteçleri için taşıyıcı tür veya sahiplik kanıtı türü (yalnızca tüketim mantıksal uygulaması) yetkilendirme düzenlerini destekler. Ancak, Authorization erişim belirtecinin üst bilgisi, ya Bearer türünü ya da PoP türünü belirtmelidir. PoP belirtecini alma ve kullanma hakkında daha fazla bilgi için Sahiplik Kanıtı (PoP) belirteci alma konusuna bakın.
Tüketim mantık uygulamanızın kaynağı, en fazla yetkilendirme ilkeleri ile sınırlıdır. Her yetkilendirme ilkesinin de belirli bir maksimum talep sayısı vardır. Daha fazla bilgi için bkz . Azure Logic Apps için sınırlar ve yapılandırma.

Bir yetkilendirme politikası en azından Ihraççı ve İzleyici taleplerini içermelidir. Issuer claim’inin değeri, Microsoft Entra ID’nin issuer’ı olarak https://sts.windows.net/ veya https://login.microsoftonline.com/ (OAuth V2) ile başlar. İzleyici iddiası, mantıklı uygulama kaynağınız için beklenen kitle değerine sahiptir.

Örneğin, mantıksal uygulama kaynağınızın hedef kitle ve Veren olmak üzere iki talep türü gerektiren bir yetkilendirme ilkesi olduğunu varsayalım. Kodu çözülen erişim belirtecinin bu örnek yük bölümü, her iki talep türünü de içerir; burada aud hedef kitle değeridir ve iss yayıncı değeridir.

{
    "aud": "https://management.core.windows.net/",
    "iss": "https://sts.windows.net/<Azure-AD-issuer-ID>/",
    "iat": 1582056988,
    "nbf": 1582056988,
    "exp": 1582060888,
    "_claim_names": {
       "groups": "src1"
    },
    "_claim_sources": {
       "src1": {
          "endpoint": "https://graph.windows.net/7200000-86f1-41af-91ab-2d7cd011db47/users/00000-f433-403e-b3aa-7d8406464625d7/getMemberObjects"
       }
    },
    "acr": "1",
    "aio": "AVQAq/8OAAAA7k1O1C2fRfeG604U9e6EzYcy52wb65Cx2OkaHIqDOkuyyr0IBa/YuaImaydaf/twVaeW/etbzzlKFNI4Q=",
    "amr": [
       "rsa",
       "mfa"
    ],
    "appid": "c44b4083-3bb0-00001-b47d-97400853cbdf3c",
    "appidacr": "2",
    "deviceid": "bfk817a1-3d981-4dddf82-8ade-2bddd2f5f8172ab",
    "family_name": "Sophia Owen",
    "given_name": "Sophia Owen (Fabrikam)",
    "ipaddr": "167.220.2.46",
    "name": "sophiaowen",
    "oid": "3d5053d9-f433-00000e-b3aa-7d84041625d7",
    "onprem_sid": "S-1-5-21-2497521184-1604012920-1887927527-21913475",
    "puid": "1003000000098FE48CE",
    "scp": "user_impersonation",
    "sub": "KGlhIodTx3XCVIWjJarRfJbsLX9JcdYYWDPkufGVij7_7k",
    "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
    "unique_name": "SophiaOwen@fabrikam.com",
    "upn": "SophiaOwen@fabrikam.com",
    "uti": "TPJ7nNNMMZkOSx6_uVczUAA",
    "ver": "1.0"
}

İstek uç noktasını çağırmak için tek seçenek olarak Microsoft Entra ID ile OAuth 2.0'ı etkinleştirme

İstek tabanlı uç noktalar için yetkilendirmeyi yalnızca Microsoft Entra Id ile OAuth 2.0 kullanacak şekilde kısıtlayabilirsiniz. Paylaşılan erişim imzası (SAS) kimlik doğrulamayı da devre dışı bıraksanız bile bu seçenek çalışır.

İş akışınız için İstek tetikleyicinizi veya HTTP Web Kancası tetikleyicinizi, İstek veya HTTP web kancası tetikleyicisi çıkışlarına 'Yetkilendirme' üst bilgisini ekleme adımlarını izleyerek OAuth erişim belirtecini denetleme özelliğiyle ayarlayın.

Note

Bu adım, Authorization üst bilginin iş akışının çalıştırma geçmişinde ve tetikleyicinin çıkışlarında görünür olmasını sağlar.
Azure portalında iş akışınızı tasarımcıda açın.
Tasarımcı sekmesinde tetikleyiciyi seçin. Açılan bilgi bölmesinde Ayarlar'ı seçin.
Genel>Tetikleyici koşulları altında, Ekle'yi seçin. Tetikleyici koşulu kutusuna, kullanmak istediğiniz belirteç türüne göre aşağıdaki ifadelerden birini girin:

@startsWith(triggerOutputs()?['headers']?['Authorization'], 'Bearer')

-veya-

@startsWith(triggerOutputs()?['headers']?['Authorization'], 'PoP')

Tetikleyici uç noktasını doğru yetkilendirme olmadan çağırırsanız, çalıştırma geçmişinde tetikleyici, tetikleme koşulunun başarısız olduğunu belirten herhangi bir ileti olmadan Skipped olarak görünür.

Sahiplik Kanıtı (PoP) jetonu alma

Microsoft Kimlik Doğrulama Kitaplığı (MSAL) kitaplıkları, kullanmanız için PoP token'ları sağlar. Çağrılamak istediğiniz Tüketim mantık uygulaması iş akışı PoP token gerektiriyorsa, bu tokenı MSAL kütüphanelerini kullanarak alabilirsiniz. Aşağıdaki örneklerde PoP belirteçlerinin nasıl alınıyor olduğu gösterilmektedir:

PoP belirtecini Tüketim mantıksal uygulaması iş akışınızla kullanmak için Microsoft Entra Id ile OAuth'u ayarlama adımlarını izleyin.

Tüketim mantıksal uygulama kaynağınız için Microsoft Entra Id ile OAuth'u etkinleştirme

Tüketim mantığı uygulamanıza yetkilendirme ilkesi eklemek için Azure portalı veya Azure Resource Manager şablonuna yönelik adımları izleyin:

Portal
Resource Manager Şablonu

Azure portalında Tüketim mantığı uygulamanızı ve iş akışınızı tasarımcıda açın.
Mantık uygulamasının yan panelinde, Ayarlar altında Yetkilendirme'yi seçin.
Yetkilendirme sayfasında İlke ekle'yi seçin.

mantıksal uygulamanızın İstek tetikleyicisine yapılan her gelen çağrı tarafından sunulan erişim belirtecinde beklediği talep türlerini ve değerlerini belirterek yetkilendirme ilkesi hakkında bilgi sağlayın:

Property	Zorunlu	Type	Description
Politika adı	Yes	String	Yetkilendirme ilkesi için kullanmak istediğiniz ad
Politika türü	Yes	String	Taşıyıcı türü belirteçler için AAD veya Sahiplik Kanıtı türü belirteçleri için AADPOP.
Claims	Yes	String	İş akışının İstek tetikleyicisinin, tetikleyiciye yapılan her gelen çağrı ile sunulan erişim belirtecinde beklediği talep türü ve değerini belirten bir anahtar-değer çifti. Standart talep ekle'yi seçerek istediğiniz standart talebi ekleyebilirsiniz. PoP belirtecine özgü bir talep eklemek için Özel talep ekle'yi seçin. Kullanılabilir standart talep türleri: - İhraççı - Seyirci - Konu - JWT Kimliği (JSON Web Belirteci tanımlayıcısı) Gereksinim -leri: - Talepler listesi en azından aşağıdaki talep türlerini içermelidir: -- İhraççı: Değeri, Microsoft Entra ihraççı kimliği olarak `https://sts.windows.net/` veya `https://login.microsoftonline.com/` ile başlayacak şekilde ayarlayın. -- hedef kitle: Değer mantıksal uygulama kaynağınız için beklenen hedef kitleye ayarlanır. - Her bir talep bir değer dizisi değil, tek bir string değeri olmalıdır. Örneğin, tür olarak Rol ve değer olarak Geliştirici olan bir talebiniz olabilir. Role türünde ve Geliştirici ve Program Yöneticisi olarak değerleri ayarlanmış bir talebiniz olamaz. - Talep değeri en fazla karakter sayısıyla sınırlıdır. Kendi talep türünüzü ve değerinizi de belirtebilirsiniz. Bu talep türleri hakkında daha fazla bilgi için bkz . Microsoft Entra güvenlik belirteçlerindeki talepler.

Aşağıdaki örnekte PoP belirtecinin bilgileri gösterilmektedir:

Başka bir talep eklemek için şu seçeneklerden birini belirleyin:
- Başka bir talep türü eklemek için Standart talep ekle'yi seçin, talep türünü seçin ve talep değerini belirtin.
- Kendi talebinizi eklemek için Özel talep ekle'yi seçin. Daha fazla bilgi için, uygulamanıza isteğe bağlı talepler sağlamayı gözden geçirin. Özel talebiniz daha sonra JWT kimliğinizin bir parçası olarak depolanır; örneğin, "tid": "aaaabbbb-0000-cccc-1111-dddd2222eeee".
Başka bir yetkilendirme ilkesi eklemek için İlke ekle'yi seçin. İlkeyi ayarlamak için önceki adımları yineleyin.
Bitirdiğinizde, Kaydet'i seçin.
Erişim belirtecindeki Authorization üst bilgiyi istek tabanlı tetikleyici çıkışlarına eklemek için, 'Yetkilendirme' üst bilgisini istek ve HTTP webhook tetikleyici çıkışlarına dahil et konusunu inceleyin.

İlkeler gibi iş akışı özellikleri Azure portalında iş akışınızın kod görünümünde görünmez. İlkelerinize program aracılığıyla erişmek için Azure Resource Manager aracılığıyla aşağıdaki API'yi çağırın: https://management.azure.com/subscriptions/{Azure-subscription-ID}/resourceGroups/{Azure-resource-group-name}/providers/Microsoft.Logic/workflows/{your-workflow-name}?api-version=2016-10-01&_=1612212851820. Azure abonelik kimliği, kaynak grubu adı ve iş akışı adı için yer tutucu değerlerini değiştirdiğinizden emin olun.

ARM şablonunuzda, bu adımları ve sözdizimi izleyerek bir yetkilendirme politikası tanımlayın:

Mantıksal uygulamanızın kaynak tanımının properties bölümüne, yoksa, nesnesi içeren bir accessControl nesnesi ekleyin.

Nesnesi hakkında accessControl daha fazla bilgi için Azure Resource Manager şablonunda gelen IP aralıklarını kısıtlama ve Microsoft.Logic iş akışları şablon başvurusu makalesini gözden geçirin.
triggers nesnesine, bir veya daha fazla yetkilendirme ilkesi tanımladığınız openAuthenticationPolicies nesnesini içeren bir policies nesnesi ekleyin.
Yetkilendirme politikası için bir isim verin, politika türünü , AADolarak ayarlayın ve bir veya daha fazla talep türünü belirttiğiniz bir claims dizi ekleyin.

Dizinin en azından claims aşağıdaki talep türlerini içermesi gerekir:
- Veren: Talebin name özelliğini olarak issayarlayın. value değerini, Microsoft Entra veren kimliği olarak https://sts.windows.net/ veya https://login.microsoftonline.com/ ile başlayacak şekilde ayarlayın.
- Hedef kitle: Claim'in name özelliğini aud olarak ayarlayın. value değerini mantık uygulaması kaynağınız için beklenen hedef kitleye ayarlayın.
Kendi talep türünüzü ve değerinizi de belirtebilirsiniz. Bu talep türleri hakkında daha fazla bilgi için bkz . Microsoft Entra güvenlik belirteçlerindeki talepler.
Erişim belirtecinden Authorization üst bilgiyi istek tabanlı tetikleyici çıkışlarına eklemek için 'İstek tetikleyicisi çıkışlarına Yetkilendirme üst bilgisini ekleme' bölümüne bakın.

İzlenmesi gereken sözdizimi aşağıdadır:

"resources": [
   {
      // Start logic app resource definition
      "properties": {
         "state": "<Enabled-or-Disabled>",
         "definition": {<workflow-definition>},
         "parameters": {<workflow-definition-parameter-values>},
         "accessControl": {
            "triggers": {
               "openAuthenticationPolicies": {
                  "policies": {
                     "<policy-name>": {
                        "type": "AAD",
                        "claims": [
                           {
                              "name": "<claim-name>",
                              "value": "<claim-value>"
                           }
                        ]
                     }
                  }
               }
            },
         },
      },
      "name": "[parameters('LogicAppName')]",
      "type": "Microsoft.Logic/workflows",
      "location": "[parameters('LogicAppLocation')]",
      "apiVersion": "2016-06-01",
      "dependsOn": [
      ]
   }
   // End logic app resource definition
],

İstek veya HTTP webhook tetikleyici çıktısına 'Authorization' üstbilgisini ekleyin

İstek tabanlı tetikleyicilere erişim için gelen çağrıları yetkilendirmek için Microsoft Entra Id ile OAuth'u etkinleştiren Tetikleyicinin temel JSON tanımında operationOptions özelliğini ekleyin ve olarak IncludeAuthorizationHeadersInOutputsayarlayın. İstek tetikleyicisi için bir örnek aşağıda verilmişti:

"triggers": {
   "manual": {
      "inputs": {
         "schema": {}
      },
      "kind": "Http",
      "type": "Request",
      "operationOptions": "IncludeAuthorizationHeadersInOutputs"
   }
}

Daha fazla bilgi için bakınız:

Paylaşılan erişim imzası (SAS) anahtarı veya belirteci oluşturma

bir iş akışı istek tabanlı tetikleyiciyle başladığında ve bu iş akışını ilk kez kaydettiğinizde, Azure Logic Apps bu tetikleyicide çağrılabilir bir uç nokta oluşturur. Bu uç nokta, iş akışını başlatmak için gelen çağrıları veya istekleri alabilen bir URL'ye sahiptir. URL, depolama hizmetlerine izinler veren bir anahtar veya belirteç olan Paylaşılan Erişim İmzası (SAS) içerir. Bu uç nokta URL'si aşağıdaki biçimi kullanır:

https://<request-endpoint-URI>sp=<permissions>sv=<SAS-version>sig=<signature>

Örneğin, bu URL'yi bir İstek tetikleyicisinde görüntülemek için tetikleyicinin HTTP URL özelliğini bulun:

URL'nin tamamı aşağıdaki örneğe benzer:

https://{domain}:443/workflows/XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2FWhen_a_HTTP_request_is_received%2Frun&sv=1.0&sig=ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ

URL'deki SAS,aşağıdaki tabloda açıklanan sorgu parametrelerine sahiptir:

Sorgu parametresi	Description
`sp`	İzin verilen HTTP yöntemlerinin kullanma izinlerini belirtir.
`sv`	İmzayı oluşturmak için kullanılacak SAS sürümünü belirtir.
`sig`	Tetikleyiciye erişimin kimliğini doğrulamak için kullanılacak imzayı belirtir. Bu imza, tüm URL yollarında ve özelliklerinde gizli akses anahtarıyla SHA256 algoritması kullanılarak oluşturulur. Bu anahtar gizli ve şifrelenmiş olarak tutulur, mantıksal uygulamayla birlikte depolanır ve hiçbir zaman kullanıma sunulmaz veya yayımlanmaz. Mantıksal uygulamanız yalnızca gizli anahtarla oluşturulan geçerli bir imza içeren tetikleyicileri yetkilendirir.

Important

SAS anahtarınızı yetkisiz kullanımdan koruduğunuz gibi koruyun. Güvenliği ihlal edilmiş erişim anahtarını iptal etmek için bir plan oluşturun veya mevcut bir planınız olduğundan emin olun. Erişim anahtarlarını kullanan URI'leri dağıtırken ve bu URI'leri yalnızca HTTPS gibi güvenli bir bağlantı üzerinden dağıtırken isteğe bağlı kullanın. Yalnızca HTTPS bağlantısı üzerinden erişim anahtarı kullanan işlemler gerçekleştirdiğinden emin olun. Geçerli anahtara sahip bir URI'ye sahip olan herkes ilişkili kaynağa erişebilir.

Güvenliği sürdürmek ve iş akışınıza erişimi korumak için, güvenlik politikalarına uyum sağlamak veya ele geçirilmiş olabilecekleri için erişim anahtarlarını düzenli aralıklarla yeniden oluşturun. Bu şekilde, verilerinizi ve işlemlerinizi yetkisiz erişime karşı koruyan iş akışınızı yalnızca yetkili isteklerin tetikleyebildiğinden emin olabilirsiniz.

Depolama hizmetlerine erişmek için SAS anahtarı kullanıyorsanız, hesap anahtarı yerine Microsoft Entra ID ile güvence altına alınan bir kullanıcı delegasyonu SAS oluşturun.

En iyi güvenlik için, mümkün olduğunda kimlik doğrulaması için yönetilen kimliklerle Microsoft Entra ID kullanın. Bu seçenek, kimlik bilgileri gerektirmeden üstün güvenlik sağlar. Azure bu kimliği yönetir ve bu hassas bilgileri yönetmek zorunda kalmamak için kimlik doğrulama bilgilerinin güvenli kalmasına yardımcı olur. Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

İstek tabanlı bir tetikleyicide uç noktaya gelen çağrılar, SAS veya Microsoft Entra Id ile OAuth 2.0 olmak üzere yalnızca bir yetkilendirme şeması kullanabilir. Bir düzenin kullanılması diğerini devre dışı bırakmasa da, her iki düzeni de aynı anda kullanırsanız, hizmet hangi düzenin seçileceğini bilmediğinden Azure Logic Apps bir hata oluşturur.

İstek tetikleyicisiyle başlayan bir Tüketim iş akışınız varsa SAS kimlik doğrulamasını devre dışı bırakabilirsiniz. Bu seçenek, yetkilendirmeyi Microsoft Entra Id ile yalnızca OAuth 2.0 kullanacak şekilde kısıtlasanız bile çalışır. Standart iş akışları için SAS'yi devre dışı bırakmadan diğer kimlik doğrulama türlerini kullanabilirsiniz.

SAS anahtarı kullanırken güvenlik hakkında daha fazla bilgi için bu kılavuzdaki aşağıdaki bölümlere bakın:

Erişim anahtarlarını yeniden oluşturun.
Süresi dolacak geri çağrı URL'leri oluşturun.
Birincil veya ikincil anahtarla URL oluşturun.

Paylaşılan erişim imzası (SAS) kimlik doğrulamayı devre dışı bırakma

Varsayılan olarak, istek tabanlı tetikleyicide SAS kimlik doğrulaması etkindir. Tetikleyicinin uç nokta URL'si, sorgu parametrelerinden başlayarak bir SAS içerir, sp-<permissions>sv-<SAS-version>sig=<signature>örneğin:

İş akışınız İstek tetikleyicisiyle başlıyorsa ve Microsoft Entra ID ile OAuth kullanmak istiyorsanız, iş akışınızı çalıştıran hataları ve sorunları önlemek için SAS kimlik doğrulamasını devre dışı bırakabilirsiniz. Ayrıca gizli bağımlılıkları kaldırarak bir güvenlik katmanı eklersiniz; bu da gizli bilgilerin günlüğe kaydedilmesi veya sızdırılması riskini azaltır.

Bu seçenek, istek tabanlı uç noktayı çağırmak için tek seçenek olarak Microsoft Entra Id ile OAuth 2.0'ı da etkinleştirseniz bile çalışır. Standart iş akışları için SAS'yi devre dışı bırakmadan diğer kimlik doğrulama türlerini kullanabilirsiniz.

Note

Bu eylem, gelen istekler için SAS kimlik doğrulamasını devre dışı bırakır ve mevcut SAS anahtarlarının veya imzalarının çalışmasını engeller. Ancak SAS kimlik doğrulamasını yeniden etkinleştirirseniz SAS anahtarlarınız veya imzalarınız geçerli kalır ve çalışmaya devam eder.

Yeni sürümler oluşturarak SAS anahtarlarını ve imzalarını devre dışı bırakmak için bkz . Erişim anahtarlarını yeniden oluşturma.

SAS kimlik doğrulamasını devre dışı bırakdıktan sonra, İstek tetikleyicisinin uç nokta URL'si artık SAS anahtarını içermiyor, örneğin:

https://{domain}:443/workflows/XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01

SAS kimlik doğrulamasını devre dışı bırakmak için ön koşullar

Talep tabanlı tetikleyicide SAS kimlik doğrulamayı devre dışı bırakmak için, örneğin REST API çağrılarını gönderecek bir araçla ihtiyacınız var:

Visual Studio Code Visual Studio Marketplace'ten bir uzantıyla
PowerShell Invoke-RestMethod
Microsoft Edge - Ağ Konsolu aracı
Bruno
curl

Caution

Kimlik bilgileri, gizli diziler, erişim belirteçleri, API anahtarları ve diğer benzer bilgiler gibi hassas verileriniz olduğu senaryolarda, verilerinizi gerekli güvenlik özellikleriyle koruyan bir araç kullandığınızdan emin olun. Araç çevrimdışı veya yerel olarak çalışmalı ve çevrimiçi bir hesapta oturum açmayı veya verileri bulutla eşitlemeyi gerektirmemelidir. Bu özelliklere sahip bir araç kullandığınızda, hassas verileri genel kullanıma çıkarma riskini azaltırsınız.

SAS etkin veya devre dışı tetikleyicileri denetleme

SAS kimlik doğrulaması devre dışı bırakıldığında tetikleyicinin uç nokta URL'si artık SAS anahtarını içermez. Ayrıca Consumption iş akışı tanımı sasAuthenticationPolicy JSON nesnesini içerir. Bu nesne devre dışı olarak ayarlanmış bir durum özelliğine sahiptir, örneğin:

"properties": {
    "accessControl": {
        "triggers": {
            "sasAuthenticationPolicy": {
                "state": "Disabled"
            }
        }
    }
}

SAS'nin etkin veya devre dışı olduğu Tüketim iş akışlarını bulmak için, iş akışı tanımının durum özelliğinin Devre Dışı olarak ayarlandığı sasAuthenticationPolicy nesnesini içerip içermediğini denetleyin.

REST API çağrıları gönderen aracınızla, aşağıdaki GET isteğini kullanarak İş Akışları - Alma işlemini çalıştırarak iş akışınız hakkında bilgi alın, örneğin:

GET https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01
İş Akışları - Alma işleminin çıktısını alın ve durum özelliğinin Devre Dışı olarak ayarlandığı sasAuthenticationPolicy nesnesinin mevcut olup olmadığını denetleyin.

sasAuthenticationPolicy özelliğini iş akışı tanımınıza ekleme

SAS kimlik doğrulamasını devre dışı bırakmak istediğiniz Tüketim iş akışları için şu adımları izleyin:

Henüz yapmadıysanız, aşağıdaki GET isteğini kullanarak İş Akışları - Alma işlemini çalıştırarak iş akışınız hakkında bilgi edinin, örneğin:

GET https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01
İş Akışları - Alma işleminden çıktıyı alın ve aşağıdaki öğeleri el ile ekleyin:
1. properties nesnesinde, yoksa bir accessControl nesne içeren bir triggers nesnesi ekleyin.
2. triggers nesnesine, sasAuthenticationPolicy olarak ayarlanmış state özelliğini içeren bir Disabled nesne ekleyin.
Bitirdiğinizde, düzenlenen bölüm aşağıdaki örneğe benzer:
```
"properties": {
    "accessControl": {
        "triggers": {
            "sasAuthenticationPolicy": {
                "state": "Disabled"
            }
        }
    }
}
```
İş Akışları - Güncelleştirme işlemini aşağıdaki PUT isteğini kullanarak çalıştırarak, istek gövdesinde giriş olarak kullandığınız düzenlenmiş çıkışla iş akışınızı güncelleştirmek için başka bir istek gönderin, örneğin:

PUT https://management.azure.com/subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}?api-version=2016-06-01
Azure portalında, tasarımcıda Tüketim iş akışınıza gidin ve İstek tetikleyicisinin URL'sinin artık SAS içermediğini onaylayın.
Microsoft Entra ID ile OAuth 2.0'ı etkinleştirmek için mantıksal uygulama kaynak düzeyinde Microsoft Entra Id ile OAuth için bir yetkilendirme ilkesi ekleyin.

Daha fazla bilgi için bkz . Microsoft Entra Id ile OAuth 2.0'ı etkinleştirme.

Erişim anahtarlarını yeniden oluşturma

Mantıksal uygulama iş akışınızın güvenlik ve erişimini korumak için, erişim anahtarlarını güvenlik ilkelerine uymaları veya güvenliklerinin tehlikeye girmesi durumunda düzenli bir zamanlamaya göre yeniden oluşturun. Bu şekilde, verilerinizi ve işlemlerinizi yetkisiz erişime karşı koruyan iş akışınızı yalnızca yetkili isteklerin tetikleyebildiğinden emin olabilirsiniz.

İstediğiniz zaman yeni bir erişim anahtarı oluşturmak için Azure REST API'sini veya Azure portalını kullanın. Daha önce oluşturulan tüm URL'ler veya eski anahtarı kullanan URL'ler geçersiz kılınır ve artık mantıksal uygulama iş akışınızı tetikleme yetkisi yoktur. Yeniden oluşturma işleminden sonra aldığınız URI'ler yeni erişim anahtarıyla imzalı.

Azure portalında, yeniden oluşturmak istediğiniz anahtarı kullanan mantıksal uygulama kaynağını açın.
Mantıksal uygulama kaynak menüsünde, Ayarlar'ın altında Erişim Anahtarları'nı seçin.
Yeniden oluşturmak istediğiniz anahtarı seçin ve işlemi tamamlayın.

Important

Erişim anahtarınızı yetkisiz kullanımdan koruduğunuz gibi, hesabınızı da koruyun. Güvenliği ihlal edilmiş erişim anahtarını iptal etmek için bir plan oluşturun veya mevcut bir planınız olduğundan emin olun. Erişim anahtarlarını kullanan URI'leri dağıtırken ve bu URI'leri yalnızca HTTPS gibi güvenli bir bağlantı üzerinden dağıtırken isteğe bağlı kullanın. Yalnızca HTTPS bağlantısı üzerinden erişim anahtarı kullanan işlemler gerçekleştirdiğinden emin olun. Geçerli anahtara sahip bir URI'si olan herkes ilgili kaynağa erişebilir.

Depolama hizmetlerine erişmek için SAS anahtarı kullanıyorsanız, hesap anahtarı yerine Microsoft Entra ID ile güvence altına alınan bir kullanıcı delegasyonu SAS oluşturun.

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Süresi dolan geri çağırma URL'leri oluşturma

İstek tabanlı tetikleyicinin uç nokta URL'sini diğer taraflarla paylaşırsanız, belirli anahtarları kullanan ve son kullanma tarihleri olan geri çağırma URL'leri oluşturabilirsiniz. Bu yaklaşımı kullanarak, anahtarları sorunsuz bir şekilde yenileyebilir veya belirli bir zaman aralığına bağlı olarak mantık uygulamanızı tetiklemeye erişimi sınırlayabilirsiniz. URL'nin son kullanma tarihini belirtmek için Azure Logic Apps REST API'sini kullanın, örneğin:

POST /subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}/triggers/{trigger-name}/listCallbackUrl?api-version=2016-06-01

Gövdeye JSON tarih dizesi kullanarak özelliğini ekleyin NotAfter . Bu özellik yalnızca tarih ve saate kadar geçerli olan bir geri çağırma URL'si NotAfter döndürür.

Birincil veya ikincil gizli anahtarla URL'ler oluşturma

İstek tabanlı tetikleyici için geri çağırma URL'leri oluşturur veya listelerken, URL'yi imzalamak için kullanılacak anahtarı belirtebilirsiniz. Belirli bir anahtar tarafından imzalanan bir URL oluşturmak için Azure Logic Apps REST API'sini kullanın, örneğin:

POST /subscriptions/{subscription-ID}/resourceGroups/{resource-group-name}/providers/Microsoft.Logic/workflows/{workflow-name}/triggers/{trigger-name}/listCallbackUrl?api-version=2016-06-01

Gövdeye KeyType özelliğini Primary veya Secondary olarak ekleyin. Bu özellik, belirtilen güvenlik anahtarı tarafından imzalanan bir URL döndürür.

Azure API Management ile mantıksal uygulama iş akışınızı kullanıma sunma

Daha fazla kimlik doğrulama protokolü ve seçeneği için Azure API Management kullanarak mantıksal uygulama iş akışınızı API olarak kullanıma vermeyi göz önünde bulundurun. Bu hizmet herhangi bir uç nokta için zengin izleme, güvenlik, ilke ve belge özellikleri sağlar. API Management, mantıksal uygulamanız için genel veya özel uç noktayı kullanıma açabilir. Bu uç noktaya erişimi yetkilendirmek için Microsoft Entra Id, istemci sertifikası veya diğer güvenlik standartlarıyla OAuth kullanabilirsiniz. API Management bir istek aldığında, hizmet isteği mantıksal uygulamanıza gönderir ve yol boyunca gerekli dönüştürmeleri veya kısıtlamaları yapar. Yalnızca API Management'ın mantıksal uygulama iş akışınızı çağırmasına izin vermek için mantıksal uygulamanızın gelen IP adreslerini kısıtlayabilirsiniz.

Daha fazla bilgi için bakınız:

Gelen IP adreslerini kısıtlama

Paylaşılan Erişim İmzası (SAS) ile birlikte mantıksal uygulama iş akışınızı çağırabilecek istemcileri özellikle sınırlamak isteyebilirsiniz. Örneğin, azure API Management kullanarak istek uç noktanızı yönetiyorsanız mantıksal uygulama iş akışınızı yalnızca oluşturduğunuz API Management hizmet örneğinin IP adresinden gelen istekleri kabul etmek üzere kısıtlayabilirsiniz.

Belirttiğiniz IP adreslerinden bağımsız olarak, İş Akışı Tetikleyicileri - Çalıştırma işlemi isteğini veya API Management'ı kullanarak istek tabanlı tetikleyicisi olan bir mantıksal uygulama iş akışını yine de çalıştırabilirsiniz. Ancak bu senaryo hala Azure REST API'sinde kimlik doğrulaması gerektirir. Tüm olaylar Azure Denetim Günlüğü'nde görünür. Erişim denetimi ilkelerini uygun şekilde ayarladığınızdan emin olun.

Mantıksal uygulama iş akışınızın gelen IP adreslerini kısıtlamak için Azure portalı veya Azure Resource Manager şablonunuz için ilgili adımları izleyin. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.

Portal
Resource Manager Şablonu

Azure portalında IP adresi kısıtlaması, portaldaki İzin verilen gelen IP adresleri altındaki açıklamanın aksine hem tetikleyicileri hem de eylemleri etkiler. Bu filtreyi accessControl tetikleyiciler ve eylemler için ayrı olarak ayarlamak için mantıksal uygulama kaynağınız için Azure Resource Manager şablonundaki nesnesini veya Azure Logic Apps REST API'sindeki İş Akışı - Oluşturma veya Güncelleştirme işlemini kullanın.

Tüketim iş akışları

Azure portalında Tüketim mantığı uygulamanızı ve iş akışınızı tasarımcıda açın.
Mantık uygulamasının yan panelinde, Ayarlar altında İş Akışı ayarlarını seçin.
Erişim denetimi yapılandırması bölümünde, İzin verilen gelen IP adresleri'nin altında senaryonuzun yolunu seçin:
- İş akışınızı Azure Logic Apps yerleşik eylemini kullanarak çağrılanabilir hale getirmek için, ancak sadece iç içe işlem akışı olarak, Sadece Diğer Logic Uygulamaları'nı seçin. Bu seçenek yalnızca iç içe geçmiş iş akışını çağırmak için Azure Logic Apps eylemini kullandığınızda çalışır.
  
  Bu seçenek, mantık uygulamanızın kaynağına boş bir dizi yazar ve yalnızca yerleşik olan Azure Logic Apps işlemini kullanan üst iş akışlarından gelen çağrıların iç içe geçmiş iş akışını tetikleyebileceğini gerektirir.
- İş akışınızı HTTP eylemi kullanarak çağrılanabilir hale getirmek için, ancak sadece iç içe bir iş akışı olarak, Özel IP aralıklarını seçin. Tetikleyiciler için IP aralıkları kutusu görüntülendiğinde, üst iş akışının giden IP adreslerini girin. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.
  
  Note
  
  İç içe iş akışınızı çağırmak için Yalnızca diğer Logic Apps seçeneğini ve HTTP eylemini kullanırsanız, çağrı engellenir ve "401 Yetkisiz" hatası alırsınız.
- Diğer IP'lerden gelen çağrıları kısıtlamak istediğiniz senaryolarda, tetikleyiciler için IP aralıkları kutusu görüntülendiğinde tetikleyicinin kabul ettiği IP adresi aralıklarını belirtin. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.
Isteğe bağlı olarak, Çalışma geçmişinden verilen IP adreslerine giriş ve çıkış mesajlarını almak için Sınır çağrıları altında, giriş ve çıkış mesajlarına erişim sağlayan gelen çağrılar için IP adres aralıklarını belirtin.

Standart iş akışları

Azure portalında Standart mantıksal uygulama kaynağınızı açın.
Mantık uygulamasının yan panelinde, Ayarlar bölümünde Ağ seçeneğini seçin.
Gelen trafik yapılandırması bölümünde, Genel ağ erişimi kısmında, Erişim kısıtlaması olmadan etkinleştirildi'yi seçin.
Erişim kısıtlamaları sayfasındaki Uygulama erişimi'nin altında, belirli sanal ağlar ve IP adresleri arasından Etkin'i seçin.
Site erişimi ve kuralları altında, Ana site sekmesinde, belirli IP aralıklarından gelen isteklere izin ver veya reddet'e bir veya daha fazla kural ekleyin. Geçerli bir IP aralığı şu formatları kullanır: x.x.x.x/x veya x.x.x.x-x.x.x.x.x.

Daha fazla bilgi için bkz. Azure Logic Apps'te gelen IP adreslerini engelleme (Standart).

Tüketim iş akışları

ARM şablonunuzda, accessControl bölümünü kullanarak mantıksal uygulamanızın kaynağının tanımında izin verilen gelen IP adresi aralıklarını belirtin. Bu bölümde, triggers, actions ve isteğe bağlı contents bölümlerini uygun şekilde kullanarak, allowedCallerIpAddresses bölümünü addressRange özelliği ile ekleyin ve özellik değerini x.x.x.x/x veya x.x.x.x-x.x.x.x biçiminde izin verilen IP aralığına ayarlayın.

İç içe mantıksal uygulama iş akışınız yalnızca yerleşik Azure Logic Apps eylemini kullanan diğer mantıksal uygulama iş akışlarından gelen çağrılara izin veren Yalnızca diğer Logic Apps seçeneğini kullanıyorsa
İç içe geçmiş mantıksal uygulama iş akışınız HTTP eylemini kullanan diğer mantıksal uygulama iş akışları gibi diğer gelen çağrılar için Belirli IP aralıkları seçeneğini kullanıyorsa bölümünü ekleyin allowedCallerIpAddresses ve özelliği izin verilen IP aralığına ayarlayın addressRange .

Bu örnekte, iç içe geçmiş bir iş akışı için yalnızca yerleşik Azure Logic Apps eylemini kullanan diğer mantıksal uygulama iş akışlarından gelen çağrılara izin veren bir mantıksal uygulama kaynak tanımı gösterilmektedir:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               <workflow-definition>
            },
            "parameters": {
            },
            "accessControl": {
               "triggers": {
                  "allowedCallerIpAddresses": []
               },
               "actions": {
                  "allowedCallerIpAddresses": []
               },
               // Optional
               "contents": {
                  "allowedCallerIpAddresses": []
               }
            },
            "endpointsConfiguration": {}
         }
      }
   ],
   "outputs": {}
}

Bu örnekte, HTTP eylemini kullanan mantıksal uygulama iş akışlarından gelen çağrılara izin veren iç içe geçmiş bir iş akışı için mantıksal uygulama kaynak tanımı gösterilmektedir:

{
   "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
   "contentVersion": "1.0.0.0",
   "parameters": {},
   "variables": {},
   "resources": [
      {
         "name": "[parameters('LogicAppName')]",
         "type": "Microsoft.Logic/workflows",
         "location": "[parameters('LogicAppLocation')]",
         "tags": {
            "displayName": "LogicApp"
         },
         "apiVersion": "2016-06-01",
         "properties": {
            "definition": {
               <workflow-definition>
            },
            "parameters": {
            },
            "accessControl": {
               "triggers": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     }
                  ]
               },
               "actions": {
                  "allowedCallerIpAddresses": [
                     {
                        "addressRange": "192.168.12.0/23"
                     }
                  ]
               }
            },
            "endpointsConfiguration": {}
         }
      }
   ],
   "outputs": {}
}

Standart iş akışları

{
   "type": "Microsoft.Web/sites/config",
   "apiVersion": "2022-09-01",
   "name": "[concat(parameters('sites_My_Standard_Logic_App_name'), '/web')]",
   "location": "West US",
   "dependsOn": [
      "[resourceId('Microsoft.Web/sites', parameters('sites_My_Standard_Logic_App_name'))]"
   ],
   "tags": {
      "hidden-link: /app-insights-resource-id": "/subscriptions/{subscriptionID}/resourceGroups/Standard-RG/providers/Microsoft.Insights/components/My-Standard-Logic-App"
   },
   "properties": {
      "numberOfWorkers": 1,
      "defaultDocuments": [
         "Default.htm",
         "Default.html",
         "Default.asp",
         "index.htm",
         "index.html",
         "iisstart.htm",
         "default.aspx",
         "index.php"
      ],
      "netFrameworkVersion": "v6.0",
      "requestTracingEnabled": false,
      "remoteDebuggingEnabled": false,
      "httpLoggingEnabled": false,
      "acrUseManagedIdentityCreds": false,
      "logsDirectorySizeLimit": 35,
      "detailedErrorLoggingEnabled": false,
      "publishingUsername": "$My-Standard-Logic-App",
      "scmType": "None",
      "use32BitWorkerProcess": false,
      "webSocketsEnabled": false,
      "alwaysOn": false,
      "managedPipelineMode": "Integrated",
      "virtualApplications": [
         {
            "virtualPath": "/",
            "physicalPath": "site\\wwwroot",
            "preloadEnabled": false
         }
      ],
      "loadBalancing": "LeastRequests",
      "experiments": {
         "rampUpRules": []
      },
      "autoHealEnabled": false,
      "vnetRouteAllEnabled": false,
      "vnetPrivatePortsCount": 0,
      "publicNetworkAccess": "Enabled",
      "cors": {
         "supportCredentials": false
      },
      "localMySqlEnabled": false,
      "managedServiceIdentityId": 3065,
      "ipSecurityRestrictions": [
         {
            "ipAddress": "208.130.0.0/16",
            "action": "Deny",
            "tag": "Default",
            "priority": 100,
            "name": "Ports"
         },
         {
            "ipAddress": "Any",
            "action": "Deny",
            "priority": 2147483647,
            "name": "Deny all",
            "description": "Deny all access"
         }
      ],
      "ipSecurityRestrictionsDefaultAction": "Deny",
      "scmIpSecurityRestrictions": [
         {
            "ipAddress": "Any",
            "action": "Allow",
            "priority": 2147483647,
            "name": "Allow all",
            "description": "Allow all access"
         }
      ],
      "scmIpSecurityRestrictionsDefaultAction": "Allow",
      "scmIpSecurityRestrictionsUseMain": false,
      "http20Enabled": false,
      "minTlsVersion": "1.2",
      "scmMinTlsVersion": "1.2",
      "ftpsState": "FtpsOnly",
      "preWarmedInstanceCount": 1,
      "functionAppScaleLimit": 0,
      "functionsRuntimeScaleMonitoringEnabled": true,
      "minimumElasticInstanceCount": 1,
      "azureStorageAccounts": {}
   }
},

Diğer hizmetlere ve sistemlere giden çağrılar için erişim

Hedef uç noktanın yeteneğine göre, HTTP tetikleyicisi veya HTTP eylemi tarafından gönderilen giden çağrılar şifrelemeyi destekler ve Taşıma Katmanı Güvenliği (TLS) 1.0, 1.1, 1.2 veya 1.3 ile güvence altına alınır; önceden Güvenli Soket Katmanı (SSL) olarak bilinirdi. Azure Logic Apps, desteklenen en yüksek olası sürümü kullanarak hedef uç noktayla anlaşma sağlar. Örneğin, hedef uç nokta 1.3'i destekliyorsa, HTTP tetikleyicisi veya eylemi önce 1.3 kullanır. Aksi takdirde bağlayıcı, desteklenen sonraki en yüksek sürümü kullanır.

Bu liste TLS/SSL otomatik olarak imzalanan sertifikalar hakkında bilgi içerir:

Çok kiracılı Azure Logic Apps ortamındaki Tüketim mantıksal uygulaması iş akışları için HTTP işlemleri otomatik olarak imzalanan TLS/SSL sertifikalarına izin vermez. Mantıksal uygulamanız bir sunucuya HTTP çağrısı yapar ve TLS/SSL otomatik olarak imzalanan bir sertifika sunarsa, HTTP çağrısı bir TrustFailure hatayla başarısız olur.
Tek kiracılı Azure Logic Apps ortamındaki Standart mantıksal uygulama iş akışları için HTTP işlemleri otomatik olarak imzalanan TLS/SSL sertifikalarını destekler. Ancak, bu kimlik doğrulama türü için birkaç ek adımı tamamlamanız gerekir. Aksi takdirde çağrı başarısız olur. Daha fazla bilgi için, tek kiracılı Azure Logic Apps için TLS/SSL sertifika kimlik doğrulaması'nı gözden geçirin.

Bunun yerine sertifika kimlik bilgisi türüyle microsoft Entra ID ile istemci sertifikası veya OAuth kullanmak istiyorsanız, yine de bu kimlik doğrulama türü için birkaç ek adımı tamamlamanız gerekir. Aksi takdirde çağrı başarısız olur. Daha fazla bilgi için İstemci sertifikası veya "Sertifika" kimlik bilgisi türüne sahip Microsoft Entra ID ile OAuth ile tek kiracılı Azure Logic Apps'e bakın.

Mantıksal uygulama iş akışlarınızdan gönderilen çağrıları işleyen uç noktaların güvenliğini sağlamaya yardımcı olmanın diğer yolları şunlardır:

Dışa giden isteklere kimlik doğrulaması ekleyin.

Giden çağrıları göndermek için HTTP tetikleyicisini veya eylemini kullandığınızda, mantıksal uygulamanız tarafından gönderilen isteğe kimlik doğrulaması ekleyebilirsiniz. Örneğin, şu kimlik doğrulama türlerini seçebilirsiniz:
Mantıksal uygulama iş akışı IP adreslerinden erişimi kısıtlayın.

Mantıksal uygulama iş akışlarından uç noktalara yapılan tüm çağrılar, mantıksal uygulamalarınızın bölgelerini temel alan belirli belirlenmiş IP adreslerinden kaynaklanır. Yalnızca bu IP adreslerinden gelen istekleri kabul eden filtreleme ekleyebilirsiniz. Bu IP adreslerini almak için Azure Logic Apps için sınırlar ve yapılandırma bölümünü gözden geçirin.
Şirket içi sistemlere bağlantılar için güvenliği geliştirin.

Azure Logic Apps, daha güvenli ve güvenilir şirket içi iletişim sağlamaya yardımcı olmak için bu hizmetlerle tümleştirme sağlar.
- Şirket içi veri ağ geçidi.
  
  Azure Logic Apps'teki birçok yönetilen bağlayıcı, Dosya Sistemi, SQL, SharePoint ve DB2 gibi şirket içi sistemlere güvenli bağlantıları kolaylaştırır. Ağ geçidi, Azure Service Bus aracılığıyla şifrelenmiş kanallardaki şirket içi kaynaklardan veri gönderir. Tüm trafik, ağ geçidi temsilcisinden güvenli giden trafik olarak başlar. Şirket içi veri ağ geçidinin nasıl çalıştığını öğrenin.
- Azure API Management üzerinden bağlanın.
  
  Azure API Management, güvenli proxy ve şirket içi sistemlerle iletişim için siteden siteye sanal özel ağ ve ExpressRoute entegrasyonu gibi şirket içi bağlantı seçenekleri sağlar. Şirket içi sisteminize erişim sağlayan bir API'niz varsa ve bir API Management hizmet örneği oluşturarak bu API'yi kullanıma sundıysanız, iş akışı tasarımcısında ilgili API Management işlemini seçerek bu API'yi mantıksal uygulamanızın iş akışından çağırabilirsiniz.
  
  Note
  
  Görme ve bağlanma izinlerine sahip olduğunuz API Management hizmetlerini gösterir; ancak tüketim tabanlı API Management hizmetlerini göstermez.
  
  Mantıksal uygulama kaynak türünüz temelinde ilgili adımları izleyin:
  
  Tüketim iş akışları
  1. API Management tetikleyicisi veya eylemi ekleyip eklemediğinize bağlı olarak şu adımları izleyin:
    - Tetikleyici: Genel adımları takip ederek Choose an Azure API Management Trigger adlı tetikleyiciyi ekleyin.
    - Eylem: Genel adımları takip ederek Choose an Azure API Management action adlı eylemi ekleyin.
  2. API Management hizmet örneği listesinden daha önce oluşturduğunuz API Management hizmet örneğini seçin.
  3. API işlemleri listesinden çağrılacak API işlemini seçin ve ardından Eylem Ekle'yi seçin.
  Standart iş akışları
  
  Standart iş akışları için tetikleyicileri değil yalnızca API Management eylemlerini ekleyebilirsiniz.
  1. İş akışı tasarımcısında, genel adımları takip ederek Call an Azure API Management API adlı eylemi ekleyin.
  2. API Management hizmet örneği listesinden daha önce oluşturduğunuz API Management hizmet örneğini seçin.
  3. API işlemleri listesinden çağrılacak API işlemini seçin ve ardından Yeni Oluştur'u seçin.

Giden aramalara kimlik doğrulaması ekleme

HTTP ve HTTPS uç noktaları çeşitli kimlik doğrulama türlerini destekler. Bu uç noktalara giden çağrılar veya istekler göndermek için kullandığınız bazı tetikleyicilerde ve eylemlerde bir kimlik doğrulama türü belirtebilirsiniz. İş akışı tasarımcısında, kimlik doğrulama türü seçmeyi destekleyen tetikleyiciler ve eylemler bir Authentication özelliğine sahiptir. Ancak, bu özellik her zaman varsayılan olarak görünmeyebilir. Bu durumlarda, tetikleyicide veya eylemde Gelişmiş parametreler listesini açın ve Kimlik Doğrulaması'nı seçin.

Important

Mantıksal uygulama iş akışınızın işlediği hassas bilgileri korumak için güvenli parametreleri kullanın ve verileri gerektiği şekilde kodlar. Parametreleri kullanma ve güvenli hale getirme hakkında daha fazla bilgi için Parametre girişlerine erişim'i gözden geçirin.

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Basic authentication

HTTP çağrıları için temel kimlik doğrulaması, istekte bulunmak için kullanıcı adı ve parola içeren base64 kodlu bir dize kullanır. Bu yöntem, kimlik bilgilerini şifreleme olmadan iletir ve bu seçeneği HTTPS/SSL protokolüyle kullanmadığınız sürece daha fazla güvenlik riski oluşturur.

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Temel seçeneği kullanılabilir ve seçiliyse şu özellik değerlerini belirtin:

Mülk (tasarımcı)	Özellik (JSON)	Zorunlu	Değer	Description
Authentication	`type`	Yes	Temel	Kullanılacak kimlik doğrulama türü
Kullanıcı adı	`username`	Yes	< kullanıcı adı>	Hedef hizmet uç noktasına erişimin kimliğini doğrulamak için kullanıcı adı
Parola	`password`	Yes	< parola>	Hedef hizmet uç noktasına erişimin kimliğini doğrulama parolası

Hassas bilgileri işlemek ve güvenli hale getirmek için güvenli parametreler kullandığınızda( örneğin, dağıtımı otomatikleştirmeye yönelik bir Azure Resource Manager şablonunda), çalışma zamanında bu parametre değerlerine erişmek için ifadeleri kullanabilirsiniz. Bu örnek HTTP eylem tanımı kimlik doğrulamasını type olarak Basic belirtir ve parametre değerlerini almak için parameters() işlevini kullanır:

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "Basic",
         "username": "@parameters('userNameParam')",
         "password": "@parameters('passwordParam')"
      }
  },
  "runAfter": {}
}

İstemci sertifikası kimlik doğrulaması

İstemci sertifikası kimlik doğrulaması , kullanıcıların uygulamalar ve tarayıcı oturum açma işlemleri için Microsoft Entra kimliklerine göre X.509 sertifikalarıyla doğrudan kimlik doğrulaması yapmasına izin verir veya gerektirir. Bu özellik, oltalama saldırılarına dayanıklı bir kimlik doğrulamayı benimsemenize ve Genel Anahtar Altyapınıza (PKI) karşı X.509 sertifikasıyla kimlik doğrulaması yapmanıza yardımcı olur.

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

İstemci sertifikası seçeneği kullanılabilir ve seçiliyse şu özellik değerlerini belirtin:

Mülk (tasarımcı)	Özellik (JSON)	Zorunlu	Değer	Description
Authentication	`type`	Yes	İstemci sertifikası veya `ClientCertificate`	Kullanılacak kimlik doğrulama türü. Sertifikaları Azure API Management ile yönetebilirsiniz. Not: Özel bağlayıcılar hem gelen hem de giden çağrılar için sertifika tabanlı kimlik doğrulamasını desteklemez.
Pfx	`pfx`	Yes	< kodlanmış-pfx-dosya-içeriği>	Kişisel Bilgi Değişimi (PFX) dosyasından base64 ile kodlanmış içerik PFX dosyasını base64 kodlu biçime dönüştürmek için aşağıdaki adımları izleyerek PowerShell 7'yi kullanabilirsiniz: 1. Sertifika içeriğini bir değişkene kaydedin: `$pfx_cert = [System.IO.File]::ReadAllBytes('c:\certificate.pfx')` 2. işlevini kullanarak sertifika içeriğini dönüştürün `ToBase64String()` ve bu içeriği bir metin dosyasına kaydedin: `[System.Convert]::ToBase64String($pfx_cert) \| Out-File 'pfx-encoded-bytes.txt'` Sorun giderme: komutunu kullanırsanız `cert mmc/PowerShell` şu hatayı alabilirsiniz: `Could not load the certificate private key. Please check the authentication certificate password is correct and try again.` Bu hatayı düzeltmek için, `openssl` komutunu kullanarak PFX dosyasını bir PEM dosyasına dönüştürmeyi ve tekrar geri dönüştürmeyi deneyin: `openssl pkcs12 -in certificate.pfx -out certificate.pem` `openssl pkcs12 -in certificate.pem -export -out certificate2.pfx` Daha sonra, sertifikanın yeni dönüştürülen PFX dosyası için base64 ile kodlanmış dizeyi aldığınızda, dize artık Azure Logic Apps'te çalışır.
Parola	`password`	No	< pfx-dosyası için şifre>	PFX dosyasına erişmek için parola

Note

OpenSSL kullanarak bir istemci sertifikasıyla kimlik doğrulaması yapmaya çalışırsanız, aşağıdaki hatayı alabilirsiniz:

BadRequest: Could not load private key

Bu hatayı gidermek için şu adımları izleyin:

Tüm OpenSSL örneklerini kaldırın.
OpenSSL sürüm 1.1.1t'i yükleyin.
Yeni güncellemeyi kullanarak sertifikanızı teslim edin.
İstemci sertifikası kimlik doğrulaması kullanılırken HTTP işlemine yeni sertifikayı ekleyin.

Hassas bilgileri işlemek ve güvenli hale getirmek için güvenli parametreler kullandığınızda( örneğin, dağıtımı otomatikleştirmeye yönelik bir Azure Resource Manager şablonunda), çalışma zamanında bu parametre değerlerine erişmek için ifadeleri kullanabilirsiniz. Bu örnek HTTP eylem tanımı kimlik doğrulamasını type olarak ClientCertificate belirtir ve parametre değerlerini almak için parameters() işlevini kullanır:

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "ClientCertificate",
         "pfx": "@parameters('pfxParam')",
         "password": "@parameters('passwordParam')"
      }
   },
   "runAfter": {}
}

Important

Eğer tek kiracılı Azure Logic Apps'te Standart bir mantık uygulaması kaynağınız varsa ve TLS/SSL sertifikası, istemci sertifikası veya Microsoft Entra ID OAuth ile HTTP işlemi kullanmak istiyorsanızCertificate, bu kimlik doğrulama tipi için ekstra kurulum adımlarını tamamladığınızdan emin olun. Aksi takdirde çağrı başarısız olur. Daha fazla bilgi için bkz . Tek kiracılı ortamda kimlik doğrulaması.

İstemci sertifikası doğrulaması kullanılarak hizmetlerin güvenliği hakkında daha fazla bilgi için bkz:

Active Directory OAuth (OAuth 2.0 with Microsoft Entra ID) kimlik doğrulaması

İstek tetikleyicisinde, mantıksal uygulamanız için Microsoft Entra yetkilendirme ilkelerini ayarladıktan sonra gelen çağrıların kimliğini doğrulamak için Microsoft Entra platformunu kullanabilirsiniz.

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Active Directory OAuth (Microsoft Entra Id ile OAuth 2.0) kimlik doğrulama türünü destekleyen diğer tüm tetikleyicilerde ve eylemlerde şu özellik değerlerini belirtin:

Mülk (tasarımcı)	Özellik (JSON)	Zorunlu	Değer	Description
Authentication	`type`	Yes	Active Directory OAuth (Microsoft Entra Id ile OAuth 2.0) veya `ActiveDirectoryOAuth`	Kullanılacak kimlik doğrulama türü. Azure Logic Apps şu anda OAuth 2.0 protokolunu izler.
Otorite	`authority`	No	< Yetki belirteci sağlayıcısı için URL>	Azure genel hizmet bölgeleri gibi `https://login.microsoftonline.com/` erişim anahtarını sağlayan yetkilinin URL'si. Diğer ulusal bulutlar için Microsoft Entra kimlik doğrulama uç noktalarını - Kimlik yetkisini seçmek için gözden geçirin.
Kiracı	`tenant`	Yes	< kiracı kimliği>	Microsoft Entra kiracısının kiracı kimliği
Seyirci	`audience`	Yes	< yetkilendirilecek kaynak>	Yetkilendirme için kullanmak istediğiniz kaynak, örneğin, `https://management.core.windows.net/`
Müşteri Kimliği	`clientId`	Yes	< istemci kimliği>	Yetkilendirme isteyen uygulamanın istemci kimliği
Yetki Belgesi Türü	`credentialType`	Yes	Sertifika veya Gizli	İstemcinin yetkilendirme istemek için kullandığı kimlik bilgisi türü. Bu özellik ve değer mantıksal uygulamanızın temel tanımında görünmez, ancak seçili kimlik bilgisi türü için görüntülenen özellikleri belirler.
Gizli	`secret`	Evet, ancak yalnızca "Gizli" kimlik bilgisi türü için	< istemci parolası>	Yetkilendirme istemek için istemci sır anahtarı
Pfx	`pfx`	Evet, ancak yalnızca "Sertifika" kimlik bilgisi türü için	< kodlanmış-pfx-dosya-içeriği>	Kişisel Bilgi Değişimi (PFX) dosyasından base64 ile kodlanmış içerik
Parola	`password`	Evet, ancak yalnızca "Sertifika" kimlik bilgisi türü için	< pfx-dosyası için şifre>	PFX dosyasına erişmek için parola

Hassas bilgileri işlemek ve güvenli hale getirmek için güvenli parametreler kullandığınızda( örneğin, dağıtımı otomatikleştirmeye yönelik bir Azure Resource Manager şablonunda), çalışma zamanında bu parametre değerlerine erişmek için ifadeleri kullanabilirsiniz. Bu örnek HTTP eylem tanımı kimlik doğrulamasını type olarak ActiveDirectoryOAuthbelirtir, kimlik bilgisi türü olarak Secretve parametre değerlerini almak için parameters() işlevini kullanır:

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "ActiveDirectoryOAuth",
         "tenant": "@parameters('tenantIdParam')",
         "audience": "https://management.core.windows.net/",
         "clientId": "@parameters('clientIdParam')",
         "credentialType": "Secret",
         "secret": "@parameters('secretParam')"
     }
   },
   "runAfter": {}
}

Important

Ham kimlik doğrulaması

Raw seçeneği varsa, OAuth 2.0 protokolünü takip etmeyen kimlik doğrulama şemalarını kullanmanız gerektiğinde bu kimlik doğrulama tipini kullanın. Bu türle, giden istekle gönderdiğiniz yetkilendirme üst bilgisi değerini el ile oluşturur ve tetikleyicinizde veya eyleminizde bu üst bilgi değerini belirtirsiniz.

Important

Azure Logic Apps için yönetilen kimlik ayarlamak için, Azure Logic Apps'te yönetilen kimliklerle Azure kaynaklarına erişim ve bağlantıların kimliğini doğrulama bölümüne bakın.

Aşağıdaki örnekte, OAuth 1.0 protokolunu izleyen bir HTTPS isteği için örnek üst bilgi gösterilmektedir:

Authorization: OAuth realm="Photos",
   oauth_consumer_key="dpf43f3p2l4k3l03",
   oauth_signature_method="HMAC-SHA1",
   oauth_timestamp="137131200",
   oauth_nonce="wIjqoS",
   oauth_callback="http%3A%2F%2Fprinter.example.com%2Fready",
   oauth_signature="74KNZJeDHnMBp0EMJ9ZHt%2FXKycU%3D"

Ham kimlik doğrulamasını destekleyen tetikleyicide veya eylemde şu özellik değerlerini belirtin:

Mülk (tasarımcı)	Özellik (JSON)	Zorunlu	Değer	Description
Authentication	`type`	Yes	Çiğ	Kullanılacak kimlik doğrulama türü
Değer	`value`	Yes	< yetkilendirme-başlık-değeri>	Kimlik doğrulaması için kullanılacak yetkilendirme üst bilgisi değeri

Güvenli parametreleri kullanarak hassas bilgileri işlemek ve güvence altına almak, örneğin dağıtımı otomatikleştirmek için Azure Resource Manager şablonunda, çalışma zamanında bu parametre değerlerine erişmek için ifadeler kullanabilirsiniz. Bu örnek HTTP eylem tanımı kimlik doğrulamasını type olarak Rawbelirtir ve parametre değerlerini almak için parameters() işlevini kullanır:

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "Raw",
         "value": "@parameters('authHeaderParam')"
      }
   },
   "runAfter": {}
}

Yönetilen kimlik doğrulaması

Yönetilen kimlik seçeneği tetikleyici veya yönetilen kimlik doğrulamasını destekleyen eylemde bulunduğunda, mantık uygulamanız bu kimliği kimlik bilgileri, sırlar veya Microsoft Entra tokenları kullanmak yerine Microsoft Entra ID ile korunan Azure kaynaklarına erişimi doğrulamak için kullanabilir. Azure bu kimliği sizin için yönetir ve aşağıdakiler nedeniyle kimlik bilgilerinizin güvenliğini sağlamanıza yardımcı olur: Gizli bilgileri yönetmeniz veya doğrudan Microsoft Entra belirteçlerini kullanmanız gerekmez. Microsoft Entra kimlik doğrulaması için yönetilen kimlikleri destekleyen Azure hizmetleri hakkında daha fazla bilgi edinin.

Tüketim mantık uygulaması kaynağı, sistem tarafından atanan kimliği veya manuel olarak oluşturulan kullanıcı tarafından atanan tek bir kimliği kullanabilir.
Standart mantıksal uygulama kaynağı, sistem tarafından atanan yönetilen kimliğin ve kullanıcı tarafından atanan birden çok yönetilen kimliğin aynı anda etkinleştirilmesini destekler, ancak yine de istediğiniz zaman yalnızca bir kimlik seçebilirsiniz.

Note

Varsayılan olarak, sistem tarafından atanan kimlik çalışma zamanında bağlantıların kimliğini doğrulamak için zaten etkindir. Bu kimlik, bağlantı oluştururken kullandığınız kimlik doğrulama kimlik bilgilerinden veya bağlantı dizesi farklıdır. Bu kimliği devre dışı bırakırsanız, bağlantılar çalışma zamanında çalışmaz. Bu ayarı görmek için, mantık uygulamanızın yan panelinde, Ayarlar bölümünde Identity'yi seçin.

Mantıksal uygulamanızın yönetilen kimlik kullanabilmesi için önce Azure Logic Apps'te yönetilen kimlikleri kullanarak Azure kaynaklarına erişimin kimliğini doğrulama bölümünde yer alan adımları izleyin. Bu adımlar mantıksal uygulamanızda yönetilen kimliği etkinleştirir ve bu kimliğin hedef Azure kaynağına erişimini ayarlar.
Bir Azure işlevinin yönetilen kimlik kullanabilmesi için önce Azure işlevleri için kimlik doğrulamasını etkinleştirin.

Yönetilen kimlik kullanmayı destekleyen tetikleyicide veya eylemde şu bilgileri sağlayın:

Yerleşik tetikleyiciler ve eylemler

Mülk (tasarımcı)	Özellik (JSON)	Zorunlu	Değer	Description
Authentication	`type`	Yes	Yönetilen Kimlik veya `ManagedServiceIdentity`	Kullanılacak kimlik doğrulama türü
Yönetilen Kimlik	`identity`	No	< kullanıcı tarafından atanan kimlik kimliği>	Kullanıcının atadığı yönetilen kimliği kullanmak. Not: Sistem tarafından atanan yönetilen kimliği kullanırken bu özelliği eklemeyin.
Seyirci	`audience`	Yes	< hedef-kaynak-kimliği>	Erişmek istediğiniz hedef kaynağın kaynak kimliği. Örneğin, `https://storage.azure.com/` kimlik doğrulaması için erişim belirteçlerini tüm depolama hesapları için geçerli hale getirir. Ancak, belirli bir depolama hesabı için olduğu gibi `https://fabrikamstorageaccount.blob.core.windows.net` bir kök hizmet URL'si de belirtebilirsiniz. Not: Audience özelliği bazı tetikleyicilerde veya eylemlerde gizlenmiş olabilir. Bu özelliği görünür hale getirmek için tetikleyicide veya eylemde Gelişmiş parametreler listesini açın ve hedef kitle'yi seçin. Önemli: Bu hedef kaynak kimliğinin, gerekli sondaki eğik çizgiler de dahil olmak üzere, Microsoft Entra ID'nin beklediği değerle tam olarak eşleştiğinden emin olun. Bu nedenle, tüm Azure Blob Depolama hesaplarının `https://storage.azure.com/` kaynak kimliği için sondaki eğik çizgi gerekir. Ancak, belirli bir depolama hesabının kaynak kimliği için sonuna eğik çizgi eklenmesine gerek yoktur. Bu kaynak kimliklerini bulmak için Microsoft Entra Id'yi destekleyen Azure hizmetlerini gözden geçirin.

Güvenli parametreleri kullanarak hassas bilgileri işlemek ve güvence altına almak, örneğin dağıtımı otomatikleştirmek için Azure Resource Manager şablonunda, çalışma zamanında bu parametre değerlerine erişmek için ifadeler kullanabilirsiniz. Örneğin, bu HTTP eylem tanımı kimlik doğrulamasını type olarak ManagedServiceIdentity belirtir ve parametre değerlerini almak için parameters() işlevini kullanır:

"HTTP": {
   "type": "Http",
   "inputs": {
      "method": "GET",
      "uri": "@parameters('endpointUrlParam')",
      "authentication": {
         "type": "ManagedServiceIdentity",
         "audience": "https://management.azure.com/"
      },
   },
   "runAfter": {}
}

Yönetilen bağlayıcılar için tetikleyiciler ve eylemler

Mülk (tasarımcı)	Zorunlu	Değer	Description
Bağlantı adı	Yes	< bağlantı adı>
Yönetilen kimlik	Yes	Sistem tarafından atanan yönetilen kimlik veya < kullanıcı atanmış yönetilen kimlik adı>	Kullanılacak kimlik doğrulama türü

Belirli konnektörler tarafından oluşturulan blok bağlantıları

Kuruluşunuz Azure Logic Apps'te bağlayıcılarını kullanarak belirli kaynaklara bağlanmaya izin vermiyorsa, Azure İlkesi kullanarak mantıksal uygulama iş akışlarında belirli bağlayıcılar için bu bağlantıları oluşturma özelliğini engelleyebilirsiniz. Daha fazla bilgi için Azure Logic Apps'te belirli bağlayıcılar tarafından oluşturulan bağlantıları engelleme başlığını inceleyin.

Mantıksal uygulamalar için yalıtım kılavuzu

Azure Kamu Etki Düzeyi 5 Yalıtım Kılavuzu'nun belirttiği bölgelerdeki tüm etki düzeylerini destekleyen Azure Kamu'da Azure Logic Apps'i kullanabilirsiniz. Bu gereksinimleri karşılamak için Azure Logic Apps, mantıksal uygulamalarınızdaki diğer Azure kiracılarının performans etkisini azaltabilmeniz ve bilgi işlem kaynaklarını diğer kiracılarla paylaşmaktan kaçınmanız için ayrılmış kaynakları olan bir ortamda iş akışları oluşturmanızı ve çalıştırmanızı destekler.
Standart mantıksal uygulama iş akışları, gelen trafik için ayarladığınız özel uç noktalar ve giden trafik için sanal ağ tümleştirmesi aracılığıyla bir Azure sanal ağıyla özel ve güvenli bir şekilde iletişim kurabilir. Daha fazla bilgi için özel uç noktaları kullanarak sanal ağlar ve tek kiracılı Azure Logic Apps arasındaki trafiğin güvenliğini sağlama konularını gözden geçirin.
Kendi kodunuzu çalıştırmak veya XML dönüşümü gerçekleştirmek için bir Azure işlevi oluşturup çağırın, satır içi kod özelliğini kullanmak veya eşleme olarak kullanılacak derlemeler sağlamak yerine. Ayrıca, yalıtım gereksinimlerinize uyması için işlev uygulamanızın barındırma ortamını ayarlayın.

Örneğin, Etki Düzeyi 5 gereksinimlerini karşılamak için, Yalıtılmış fiyatlandırma katmanını kullanarak bir App Service planı ve aynı zamanda Yalıtılmış fiyatlandırma katmanını kullanan bir App Service Ortamı (ASE) ile işlev uygulamanızı oluşturun. Bu ortamda; fonksiyon uygulamaları, ayrılmış Azure sanal makinelerinde ve ayrılmış Azure sanal ağlarında çalışır. Bu, uygulamalarınız için işlem yalıtımına ek olarak ağ yalıtımı sağlar ve maksimum ölçeklenebilirlik özellikleri sunar.

Daha fazla bilgi için bakınız:

İzolasyon hakkında daha fazla bilgi için bakınız:

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2026-09-19

Azure Logic Apps'te iş akışları için güvenli erişim ve veri

Azure RBAC ile mantık uygulaması işlemlerine güvenli erişim

Tüketim iş akışları

Standart iş akışları

İş akışı çalışma geçmişine erişim

IP adresi aralığına göre erişimi kısıtlama

Tüketim iş akışları

Standart iş akışları

Gizleme kullanarak çalışma geçmişindeki verilerin güvenliğini sağlama

Girişleri ve çıkışları güvenli hale getirmek için dikkat edilmesi gerekenler

Tasarımcıda girişlerin ve çıkışların güvenliğini sağlama

Kod görünümünde girişlerin ve çıkışların güvenliğini sağlama

Ortamlar arasında parametre girdilerine güvenli erişim

İş akışı tanımlarında parametrelerin güvenliğini sağlama (Tüketim iş akışı)

Azure Resource Manager şablonlarında parametrelerin güvenliğini sağlama (Tüketim iş akışı)

Kimlik doğrulamasını destekleyen bağlayıcılar için kimlik doğrulama türleri

İstek tabanlı tetikleyicilere gelen çağrılara erişim

Microsoft Entra Id ile OAuth 2.0'ı etkinleştirme

Microsoft Entra Id ile OAuth 2.0'ı etkinleştirmeden önce dikkat edilmesi gerekenler

İstek uç noktasını çağırmak için tek seçenek olarak Microsoft Entra ID ile OAuth 2.0'ı etkinleştirme

Sahiplik Kanıtı (PoP) jetonu alma

Tüketim mantıksal uygulama kaynağınız için Microsoft Entra Id ile OAuth'u etkinleştirme

İstek veya HTTP webhook tetikleyici çıktısına 'Authorization' üstbilgisini ekleyin

Paylaşılan erişim imzası (SAS) anahtarı veya belirteci oluşturma

Paylaşılan erişim imzası (SAS) kimlik doğrulamayı devre dışı bırakma

SAS kimlik doğrulamasını devre dışı bırakmak için ön koşullar

SAS etkin veya devre dışı tetikleyicileri denetleme

sasAuthenticationPolicy özelliğini iş akışı tanımınıza ekleme

Erişim anahtarlarını yeniden oluşturma

Süresi dolan geri çağırma URL'leri oluşturma

Birincil veya ikincil gizli anahtarla URL'ler oluşturma

Azure API Management ile mantıksal uygulama iş akışınızı kullanıma sunma

Gelen IP adreslerini kısıtlama

Tüketim iş akışları

Standart iş akışları

Diğer hizmetlere ve sistemlere giden çağrılar için erişim

Giden aramalara kimlik doğrulaması ekleme

Basic authentication

İstemci sertifikası kimlik doğrulaması

Active Directory OAuth (OAuth 2.0 with Microsoft Entra ID) kimlik doğrulaması

Ham kimlik doğrulaması

Yönetilen kimlik doğrulaması

Belirli konnektörler tarafından oluşturulan blok bağlantıları

Mantıksal uygulamalar için yalıtım kılavuzu

İlgili içerik

Geri Bildirim

Ek kaynaklar