Você tem um Azure Web App e vários aplicativos do Azure Function que precisam carregar segredos (cadeias de conexão, certificados) do Azure Key Vault. Os segredos não devem ser armazenados no código ou ambiente do aplicativo, e você deseja minimizar as alterações no Azure AD. Qual abordagem você deve usar para acessar o Key Vault a partir dos aplicativos?

A Managed Identity atribuída pelo usuário (User-Assigned Managed Identity) é a melhor opção porque permite que uma única identidade seja criada e atribuída a múltiplos recursos (Web App e Function Apps). Isso minimiza as alterações no Azure AD, pois você gerencia apenas uma identidade para todos os aplicativos que precisam acessar o Key Vault. As Managed Identities atribuídas pelo sistema (System-Assigned Managed Identity) criam uma identidade para cada recurso, o que seria mais trabalhoso para gerenciar em múltiplos aplicativos. Service principals do Azure AD com segredos de cliente ou certificados exigem o gerenciamento manual desses segredos ou certificados, o que vai contra o requisito de não armazenar segredos no código ou ambiente do aplicativo. Além disso, criar um service principal para cada aplicativo aumentaria a complexidade no Azure AD.