您部署了一个逻辑应用 (Logic App)，它调用了一个 Azure 函数 (Azure Function)（带 OpenAPI 定义），该函数访问一个 Azure Blob 存储账户。所有资源都受 Azure AD 保护。该逻辑应用必须安全地访问 Blob 存储，并且即使逻辑应用被删除，任何 Azure AD 身份也应保留。您应该选择哪个选项？

用户分配的托管标识是正确选择，因为它满足所有要求。它可以在多个资源（包括逻辑应用和 Azure 函数）之间共享，并且其生命周期独立于创建它的资源，即使逻辑应用被删除也能保留。通过基于角色的访问控制 (RBAC) 分配权限，可以精细控制对 Blob 存储的访问。 其他选项不满足所有要求： 创建 Azure AD 自定义角色并分配给 Blob 存储账户，但没有说明如何让逻辑应用使用此角色进行身份验证。 创建 Azure Key Vault 并颁发客户端证书，这是一种身份验证方法，但不如托管标识与 Azure AD 集成得好，并且管理更复杂。 创建系统分配的托管标识会将其生命周期与逻辑应用绑定，如果逻辑应用被删除，标识也会被删除，不满足“即使逻辑应用被删除，任何 Azure AD 身份也应保留”的要求。 创建 Azure AD 自定义角色并分配基于角色的访问控制，这个选项不完整，没有说明如何让逻辑应用使用此角色进行身份验证。