Authenticatie

Event Bridge Setup ondersteunt zes eindpunttypen en zeven autorisatiemethoden, maar niet elke combinatie is geldig — de vier Azure-eigen eindpunten (Service Bus, Event Hub, Queue Storage, Event Grid) accepteren elk alleen de autorisatiemethoden die zinvol zijn voor die Azure-resource, en Business Central handhaaft dit: het kiezen van een niet-ondersteunde combinatie bij Setup levert onmiddellijk een foutmelding op, nog voordat u kunt opslaan.

Ondersteunde combinaties

Endpoint	No Auth	Basic Auth	API Key	OAuth 2.0	Azure SAS Token	Storage SAS Token	Event Grid SAS Token
RabbitMQ	⚠️	✅	❌	✅	❌	❌	❌
API endpoint	⚠️	✅	✅	✅	❌	❌	❌
Azure Service Bus	❌	❌	❌	✅	✅	❌	❌
Azure Event Hub	❌	❌	❌	✅	✅	❌	❌
Azure Queue Storage	❌	❌	❌	✅	❌	✅	❌
Azure Event Grid	❌	❌	✅	✅	❌	❌	✅

✅ ondersteund · ⚠️ ondersteund, maar niet aanbevolen buiten lokaal testen — zie No Auth · ❌ niet ondersteund

Eindpunten

De eigen verbindingsvelden van elk eindpunt (URL, namespace, wachtrijnaam, enzovoort) worden gedocumenteerd onder Setup → Endpoint. Deze pagina behandelt welke autorisatiemethode elk eindpunt accepteert, en waarom.

RabbitMQ

Publiceert naar een RabbitMQ-exchange via de HTTP Management API. Accepteert No Auth of Basic Auth — een gebruikelijke Management API-gebruiker — of OAuth 2.0 als het achter een reverse proxy of gateway zit die in plaats daarvan bearer-tokens uitgeeft. API Key en Azure SAS Token worden niet aangeboden: de RabbitMQ Management API zelf kent geen van beide concepten, dus er is niets aan de ontvangende kant dat ze ooit zou accepteren.

API endpoint

Verstuurt platte JSON via POST naar elke URL die u opgeeft. Accepteert No Auth, Basic Auth, API Key, of OAuth 2.0 — de vier algemene HTTP-autorisatieschema's — kies dus welke uw ontvangende systeem verwacht. De overige drie methoden (Azure SAS Token, Storage SAS Token, Event Grid SAS Token) zijn Azure-specifieke ondertekeningsschema's die gereserveerd zijn voor hun eigen eindpunten; zie die methoden hieronder voor de reden. Voor een concrete doorloop, zie Zapier, Make.com & Power Automate.

Azure Service Bus

Publiceert naar een Service Bus-wachtrij of -topic via de bijbehorende REST API. Azure accepteert voor deze API alleen OAuth 2.0 (een Entra ID-app-registratie) of een Azure SAS Token (een sleutel van een shared access policy) — er is geen concept van Basic Auth of API-sleutel op Service Bus zelf, dus Event Bridge blokkeert de andere autorisatiemethoden voor dit eindpunt in plaats van u een combinatie te laten configureren die Azure toch zou afwijzen.

Azure Event Hub

Publiceert naar een Event Hub via dezelfde messaging REST API die Service Bus gebruikt — Event Hubs is gebouwd op datzelfde protocol, wat verklaart waarom het precies dezelfde twee autorisatiemethoden accepteert om dezelfde redenen: OAuth 2.0 (een Entra ID-app-registratie) of een Azure SAS Token (een sleutel van een shared access policy, van de Event Hub-namespace in plaats van een Service Bus-namespace). Hier ook geen concept van Basic Auth of API-sleutel.

Azure Queue Storage

Publiceert naar een wachtrij van een Storage Account via de bijbehorende REST API. De data-plane API van Azure Storage accepteert OAuth 2.0 (een Entra ID-app-registratie met de rol Storage Queue Data Message Sender) of een Storage SAS Token (gegenereerd voor die specifieke wachtrij) — ook hier geen Basic Auth of generieke API-sleutel. Azure SAS Token is hier ook niet van toepassing: Storage Queues gebruiken een SAS-token met een andere vorm, wat de reden is dat het een aparte autorisatiemethode is ten opzichte van die van Service Bus/Event Hub.

Azure Event Grid

Publiceert naar een Event Grid custom topic via de bijbehorende REST API, waarbij elke gebeurtenis wordt verpakt in het eigen event-schema van Event Grid (id, subject, eventType, eventTime, en een data-object met de payload en headers). Event Grid custom topics accepteren API Key (Event Grid noemt dit een "topic key", verzonden onder de header aeg-sas-key — stel het veld Key in op precies die naam), OAuth 2.0 (een Entra ID-app-registratie), of Event Grid SAS Token (een tijdgebonden token dat Business Central genereert op basis van een topic access key). No Auth, Basic Auth, Azure SAS Token en Storage SAS Token zijn niet van toepassing op de API van Event Grid.

WARNING

Dit betekent dat uw Event Grid Topic moet zijn geconfigureerd voor Event Grid Schema als invoerschema. Als het topic in plaats daarvan is ingesteld op CloudEvents v1.0, wordt het publiceren geweigerd — de JSON-vorm die Event Bridge verstuurt komt niet overeen met wat een topic met CloudEvents-schema verwacht. Controleer (of stel) dit in op de instelling Event Schema van het topic in de Azure Portal voordat u Event Bridge erop richt.

Autorisatiemethoden

No Auth

Geen velden om te configureren. Verzoeken worden verzonden zonder een Authorization-header — iedereen die het eindpunt kan bereiken kan er events naartoe posten, en iedereen die het verzoek kan onderscheppen kan ze lezen, dus ⚠️ gebruik dit alleen tegen een eindpunt dat u vertrouwt en beheert, zoals een RabbitMQ-instantie op een privénetwerk, of voor lokaal testen. Geef anders de voorkeur aan Basic Auth of OAuth 2.0.

Basic Auth

Field	Notes
Username	Wordt verzonden als de basic-auth-gebruikersnaam.
Password	Gemaskeerd zodra opgeslagen — versleuteld opgeslagen, en er is geen manier om het na invoer opnieuw te bekijken, alleen te vervangen.

API Key

Field	Notes
Key	De naam van de HTTP-header waaronder de sleutel wordt verzonden.
Value	Gemaskeerd zodra opgeslagen, net als het Basic Auth-wachtwoord — versleuteld opgeslagen, vervang in plaats van te bekijken.

OAuth 2.0

Business Central verkrijgt een toegangstoken via de client-credentials-flow en verstuurt het als een Bearer-token in de Authorization-header. Stel dit in als een app-registratie in het doelsysteem (Entra ID, voor de Azure-eindpunten).

Field	Notes
Token Endpoint	De OAuth2-token-URL, bijv. https://login.microsoftonline.com/<tenant>/oauth2/v2.0/token.
Client ID	De application (client) ID van de app-registratie die wordt gebruikt om een token aan te vragen.
Scope	Een of meer door spaties gescheiden scopes om aan te vragen — zie de onderstaande tabel voor de waarde die elk Azure-eindpunt verwacht.
Client Secret	Gemaskeerd zodra opgeslagen, net als het Basic Auth-wachtwoord — versleuteld opgeslagen, vervang in plaats van te bekijken.

Het toegangstoken wordt in het geheugen gecached (per sessie) tot kort voordat het verloopt, in plaats van dat er voor elke gebeurtenis opnieuw een wordt aangevraagd. Als een verzoek toch 401 Unauthorized terugkrijgt — het gecachte token is bijvoorbeeld ingetrokken of de klok van het doelsysteem loopt niet gelijk — dan gooit Business Central het gecachte token weg en probeert het één keer opnieuw met een vers verkregen token voordat het opgeeft.

De Entra ID-app-registratie instellen (voor de vier Azure-eindpunten — RabbitMQ en het API endpoint kunnen elke OAuth2-provider gebruiken, dus dit deel is niet op hen van toepassing):

1. Ga in de Azure Portal naar Microsoft Entra ID → App registrations → New registration. Geef het een naam (bijv. "BC Event Bridge") en laat de redirect-URI leeg — dit is een client-credentials-app, geen interactieve aanmelding.
2. Kopieer op de pagina Overview van de nieuwe registratie de Application (client) ID naar Client ID, en de Directory (tenant) ID om de Token Endpoint op te bouwen: https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/token.
3. Ga naar Certificates & secrets → New client secret, en kopieer de Value van het secret onmiddellijk naar Client Secret — deze wordt maar één keer getoond (de Secret ID ernaast is niet wat u nodig heeft).
4. Verleen de app-registratie toegang tot de doel-Azure-resource. Dit gebeurt op het eigen Access control (IAM)-blad van de resource in de portal, als een roltoewijzing met de app-registratie als lid — niet op het tabblad API permissions van de app-registratie zelf, dat is voor Microsoft Graph/gedelegeerde machtigingen en is hier niet van toepassing. Welke ingebouwde rol moet worden toegewezen, en welke Scope u in Business Central moet instellen, hangt af van het eindpunt:

Endpoint	Toe te wijzen rol, en waar	Scope
Azure Service Bus	Azure Service Bus Data Sender, op de namespace (of nauwer, op de specifieke wachtrij/topic)	https://<namespace>.servicebus.windows.net/.default
Azure Event Hub	Azure Event Hubs Data Sender, op de namespace (of nauwer, op de specifieke Event Hub)	https://<namespace>.servicebus.windows.net/.default
Azure Queue Storage	Storage Queue Data Message Sender, op het storage account (of nauwer, op de specifieke wachtrij)	https://storage.azure.com/.default
Azure Event Grid	EventGrid Data Sender, op het custom topic	https://eventgrid.azure.net/.default

De rol is wat het verzoek daadwerkelijk autoriseert; de scope vertelt Entra ID alleen voor welke resource het token moet worden uitgegeven.

Azure SAS Token

Ondertekent elk verzoek met een shared access policy van Azure Service Bus of Azure Event Hub — de twee delen dezelfde messaging REST API, dus deze methode werkt identiek tegen beide: Business Central berekent een HMAC-SHA256-handtekening over de verzoeks-URL en een vervaltijd van 5 minuten, en verstuurt deze als een SharedAccessSignature-Authorization-header. Dit is hetzelfde schema dat de eigen connection strings van deze services gebruiken.

Field	Notes
SAS Key Name	De naam van de shared access policy, bijv. RootManageSharedAccessKey.
Key Value	Gemaskeerd zodra opgeslagen, net als het Basic Auth-wachtwoord — versleuteld opgeslagen, vervang in plaats van te bekijken. De primaire of secundaire sleutel van de shared access policy.

Storage SAS Token

Voegt een vooraf gegenereerd Shared Access Signature-token toe aan de verzoeks-URL als querystring, in plaats van zelf iets te ondertekenen. Genereer het token zelf — beperkt tot de specifieke wachtrij en de machtiging Add message — via de Azure Portal, Storage Explorer, of de Azure CLI, en plak het vervolgens in zijn geheel.

Field	Notes
SAS Token	Plak het volledige token, met of zonder het voorafgaande ?. Het wordt ongewijzigd toegevoegd aan de verzoeks-URL en moet vernieuwd worden voordat het verloopt — in tegenstelling tot OAuth 2.0 kan Event Bridge dit niet voor u vernieuwen.

Event Grid SAS Token

In tegenstelling tot Storage SAS Token genereert u dit token niet zelf — Business Central bouwt voor elk verzoek een vers, ondertekend token op basis van een langdurige access key, en verstuurt dit onder de header aeg-sas-token (het eigen schema van Event Grid, dat losstaat van de generieke Authorization-header die de andere methoden gebruiken).

Field	Notes
Access Key	De primaire of secundaire access key van het topic, te vinden onder Access keys op het Event Grid-topic in de Azure Portal. Gemaskeerd zodra opgeslagen, net als het Basic Auth-wachtwoord — versleuteld opgeslagen, vervang in plaats van te bekijken.

Elk gegenereerd token is 60 minuten geldig; Business Central genereert er voor elke gebeurtenis een nieuw, dus er hoeft niets handmatig vernieuwd te worden.

Wie dit kan configureren

Het wijzigen van Authorization vereist dezelfde machtigingsset Event Bridge Admin als de rest van Setup — zie Licensing and access.