您正在设计一个销售点 (POS) 解决方案，该解决方案将部署在多个位置。每个位置都将托管多个本地应用程序，这些应用程序必须向标准层的 Azure Databricks 工作区进行身份验证。该解决方案应最大限度地减少与员工流失和凭据管理相关的管理开销。您应该为本地应用程序配置哪种身份验证方法来访问工作区？

正确答案是使用 Azure Active Directory 服务主体（带客户端凭据的应用程序注册）。服务主体代表应用程序或服务，允许它以自己的身份向 Azure AD 进行身份验证，而无需依赖任何特定用户。这符合最小化管理开销和员工流失影响的要求，因为凭据与应用程序相关联，而不是与个人用户相关联。 为应用程序使用系统分配或用户分配的托管标识不适用于本地应用程序，因为托管标识旨在为在 Azure 中运行的资源提供身份验证。 使用与单个用户关联的个人访问令牌 (PAT) 不适合此场景。PAT 与特定用户绑定，如果该用户离开组织或其凭据发生变化，则需要更新所有应用程序的 PAT，这会增加管理开销并引入单点故障。