Você tem um Azure Key Vault chamado KV1 e três servidores web onde implantará um aplicativo chamado App1. Para permitir que o App1 recupere um segredo do KV1, minimizando o número de concessões de permissão e seguindo o princípio do menor privilégio, o que você deve incluir na solução?

A identidade gerenciada atribuída ao usuário (User-Assigned Managed Identity) é a melhor opção. Ela pode ser criada uma vez e atribuída a múltiplos recursos do Azure (neste caso, os três servidores web), permitindo que todos eles autentiquem-se no Key Vault para recuperar segredos. Isso minimiza o número de concessões de permissão, pois você gerencia uma única identidade para todos os servidores, em vez de configurar permissões individualmente. Uma identidade gerenciada atribuída ao sistema (System-Assigned Managed Identity) seria criada para cada servidor web individualmente, resultando em três identidades separadas e mais gerenciamento de permissões. O RBAC (Role-Based Access Control) é o mecanismo para conceder permissões, mas a pergunta é sobre qual tipo de identidade usar. Um service principal é uma identidade de aplicativo, mas as identidades gerenciadas são preferíveis para recursos do Azure, pois o Azure gerencia as credenciais automaticamente.