Sie haben eine Azure Web App und mehrere Azure Function Apps, die Geheimnisse (Verbindungszeichenfolgen, Zertifikate) aus Azure Key Vault laden müssen. Geheimnisse dürfen nicht im App-Code oder in der Umgebung gespeichert werden, und Sie möchten Änderungen in Azure AD minimieren. Welchen Ansatz sollten Sie für den Zugriff auf Key Vault von den Apps aus verwenden?

Eine benutzerseitig zugewiesene verwaltete Identität (User-Assigned Managed Identity) ist die beste Wahl, da sie von mehreren Azure-Ressourcen (Web App, Function Apps) gemeinsam genutzt werden kann. Dies minimiert die Verwaltung und die Änderungen in Azure AD, da nur eine Identität erstellt und verwaltet werden muss, die dann den Zugriff auf Key Vault erhält. Die Apps werden so konfiguriert, dass sie diese gemeinsame Identität verwenden, um Geheimnisse sicher abzurufen, ohne Anmeldeinformationen im Code oder in der Umgebung speichern zu müssen. Ein einzelner Azure AD-Dienstprinzipal mit Client-Geheimnis würde bedeuten, dass das Client-Geheimnis in den App Services gespeichert werden müsste, was der Anforderung widerspricht, Geheimnisse nicht in der Umgebung zu speichern. Systemseitig zugewiesene verwaltete Identitäten sind an eine einzelne Ressource gebunden und können nicht von mehreren Apps gemeinsam genutzt werden, was zu mehr Verwaltungsaufwand führen würde. Mehrere Azure AD-Dienstprinzipale mit Zertifikaten würden ebenfalls den Verwaltungsaufwand erhöhen und die Komplexität der Zertifikatsverwaltung mit sich bringen.