Control granular de roles para Logic App Standard con APIM y Easy Auth: en este artículo explico cómo combinar la autenticación de Easy Auth en Logic App Standard con Azure API Management APIM para aplicar control de acceso basado en roles antes de que la petición llegue al flujo de trabajo.
1. Registrar roles de aplicación: en la App Registration de Entra ID que representa tu API crea roles como wf_arithmetic_add wf_arithmetic_sub y wf_arithmetic_mul. Asigna esos roles a los service principals o usuarios que deban tener permiso. Una vez que se consientan, los roles aparecerán en el panel de permisos de la API.
2. Incorporar Logic App Standard en APIM: actualmente APIM no ofrece un asistente de importación directa para Logic App Standard con Easy Auth activado, por lo que se crea la API manualmente. En APIM crea una API nueva por ejemplo LAStandardAPI y añade operaciones como Add Sub Mul que reflejen tus triggers o acciones del workflow. Configura el backend de cada operación para apuntar al endpoint HTTPS del Logic App ya protegido por Easy Auth.
Consejo práctico: usa un nombre consistente para el trigger HTTP en cada workflow por ejemplo RcvReq. Evita depender del token SAS sig en la URL cuando frontalices con APIM. En su lugar construye la URL del backend de forma dinámica y aplica una política de rewrite-uri o set-backend-service en APIM. Patrón de backend ejemplo: https://mylogicapp.azurewebsites.net/api/wf_arithmetic_add/triggers/RcvReq/invoke?api-version=2022-05-01. En el frontend de APIM puedes mapear rutas limpias como /api/wf_arithmetic_add hacia el backend dinámico correspondiente. De este modo todas las llamadas al workflow pasan por la validación JWT y ya no dependen solo de tokens SAS.
3. Validar el JWT en APIM: en la política inbound global o por operación usa validate-jwt apuntando a la configuración OpenID de tu tenant v2 por ejemplo https://login.microsoftonline.com/TENANT_ID/v2.0/.well-known/openid-configuration y acepta emisores como https://sts.windows.net/TENANT_ID/. Cuando la validación falla devuelves 401 Unauthorized. Opcionalmente puedes incluir un bloque audiences para exigir el audience de la API.
En la misma política inbound extrae el token del header Authorization, parsea las claims roles y genera una lista CSV de roles. Calcula el nombre del workflow solicitado a partir de la ruta de la petición, por ejemplo extrayendo el segmento final de /api/wf_arithmetic_add. Comprueba si la lista de roles contiene el nombre del workflow solicitado. Si la comprobación pasa permite el flujo hacia el backend, si no devuelve 403 Forbidden con un cuerpo JSON indicando error Role missing or invalid. Finalmente reescribe la URI de frontend a la ruta del trigger en el Logic App por ejemplo /api/{wf}/triggers/RcvReq/invoke?api-version=2022-05-01 para que APIM adelante la petición al trigger correcto.
4. Validación y pruebas: una vez aplicada la política en APIM prueba con tokens que incluyan distintos roles. Caso autorizado: un token que contenga wf_arithmetic_add podrá invocar /api/wf_arithmetic_add y obtendrá 200 OK. Caso no autorizado: el mismo token si llama a /api/wf_arithmetic_mul sin contener wf_arithmetic_mul será rechazado con 403 Forbidden y el JSON de error correspondiente.
Beneficios de este enfoque: seguridad reforzada al aplicar control de acceso basado en roles en la puerta de entrada API en lugar de depender solo de SAS tokens, trazabilidad y centralización de políticas, y facilidad para exponer APIs limpias hacia clientes mientras se mantiene la protección de los workflows internos.
En Q2BSTUDIO como empresa de desarrollo de software y aplicaciones a medida combinamos capacidades de integración cloud y seguridad para ayudarte a desplegar soluciones robustas. Si necesitas construir APIs seguras o desarrollar un workflow a medida podemos ayudarte a diseñar la integración entre Logic Apps y APIM y a implementar políticas de validación JWT y control de roles. Consulta nuestros servicios de desarrollo de aplicaciones a medida en desarrollo de aplicaciones y software multiplataforma y nuestros servicios cloud en servicios cloud AWS y Azure.
Además ofrecemos experiencia en inteligencia artificial IA para empresas, agentes IA, power bi y servicios inteligencia de negocio, así como en ciberseguridad y pentesting para proteger tus integraciones. Palabras clave relevantes para tu posicionamiento: aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA y power bi.
Si quieres que Q2BSTUDIO implemente este patrón de control granular de roles en tu entorno Azure, optimice la adopción de APIM o desarrolle soluciones a medida con foco en seguridad y automatización ponte en contacto y te asesoramos en la mejor arquitectura y en la implementación técnica.
