Autenticación Fácil en Azure Logic Apps (Standard)

En este artículo explico cómo habilitar la Autenticación Fácil o Easy Auth para Azure Logic Apps Standard y cómo proteger tus flujos HTTP con Microsoft Entra ID en lugar de depender solo de claves SAS. Esta guía está orientada a entornos single tenant y es ideal para empresas que necesitan seguridad de nivel empresarial en APIs y automatizaciones.

Requisitos previos: una Logic App Standard desplegada en Azure; un App Registration en Microsoft Entra ID; permisos de Owner o Contributor sobre la Logic App. Importante: Easy Auth no está disponible para Logic Apps Consumption, en ese caso considera API Management o restricciones por IP.

Paso 1 Habilitar y configurar la autenticación: en el Portal de Azure abre tu Logic App, en Settings selecciona Authentication y haz clic en Add identity provider elige Microsoft. Selecciona tu App Registration existente o crea uno nuevo y guarda. Después edita el proveedor Microsoft y configura los campos principales: Issuer URL usa el endpoint v2.0 de tu tenant por ejemplo https://login.microsoftonline.com/tuTenantId/v2.0; Allowed token audiences añade api://tu-client-id y el GUID del client id; en Additional checks configura Client application requirement recomendando Allow requests from specific client applications e incluye los client IDs de confianza; Identity requirement puedes restringir a Allow requests from specific identities pegando los object IDs (oid) de usuarios o service principals; Tenant requirement deja Only from this tenant para entornos single tenant. En Open Authentication revisa que App Service authentication esté Enabled y en Restrict access selecciona Require authentication para bloquear peticiones no autenticadas y guarda los cambios.

Adquirir el token: usa Postman, Azure CLI o tu aplicación para obtener un access_token mediante el flujo client credentials enviando client_id, client_secret y scope (p. ej. api://tu-client-id/.default). Decodifica el token en https://jwt.ms y localiza la claim oid en el payload, ese valor es el Object ID del usuario o del service principal que usarás para permitir el acceso.

Configurar la lista de identidades permitidas: en Authentication > Microsoft provider > Identity requirement selecciona Allow requests from specific identities y pega los OID que recopilaste. Si además especificas aplicaciones cliente confiables en Allowed client applications te aseguras de que solo apps registradas autorizadas puedan solicitar tokens válidos para invocar tus flujos.

Validación y pruebas: llamadas usando la clave SAS siguen funcionando si no bloqueas ese método pero son menos seguras porque cualquiera con la URL y sig puede invocar el flujo; con Easy Auth activo y Require authentication habilitado solo se aceptan Bearer tokens válidos emitidos por Microsoft Entra ID; peticiones sin el prefijo Bearer o con token inválido recibirán 401 Unauthorized. Prueba escenarios con un token válido, con token expirado y sin token para verificar el comportamiento.

Buenas prácticas adicionales: usa el endpoint v2.0 para aprovechar scopes modernos; limita audiencias y client IDs; rota los secretos de tus App Registrations; audita los accesos y registra logs de autenticación para cumplimiento y respuesta a incidentes.

En Q2BSTUDIO somos especialistas en desarrollo de software a medida y aplicaciones a medida y acompañamos a empresas en la implementación segura de soluciones cloud y automatizaciones. Podemos ayudarte a diseñar e implementar Logic Apps con seguridad basada en identidades, integrar soluciones con Servicios cloud AWS y Azure y aplicar prácticas de ciberseguridad enterprise. Además ofrecemos servicios de inteligencia artificial, agentes IA e IA para empresas y servicios de inteligencia de negocio y Power BI para explotar tus datos y generar valor. Si buscas una solución integral que combine software a medida, ciberseguridad y capacidades de inteligencia artificial visita nuestra página de servicios de inteligencia artificial y contacta con nuestro equipo para un proyecto a medida.

Resumen: habilitar Easy Auth en Logic Apps Standard y restringir por client IDs, tenant y OID te permite proteger endpoints HTTP con Microsoft Entra ID y elevar la seguridad de tus integraciones a prácticas corporativas sin perder la flexibilidad de Azure Logic Apps.