Sie haben eine Logic App bereitgestellt, die eine Azure Function (mit einer OpenAPI-Definition) aufruft, welche auf ein Azure Blob Storage-Konto zugreift. Alle Ressourcen sind durch Azure AD geschützt. Die Logic App muss sicher auf den Blob Storage zugreifen, und alle Azure AD-Identitäten sollen auch dann bestehen bleiben, wenn die Logic App gelöscht wird. Welche Option sollten Sie wählen?

Eine benutzerseitig zugewiesene verwaltete Identität (User-Assigned Managed Identity) ist die korrekte Wahl, da sie unabhängig von der Lebensdauer der Logic App existiert. Dies erfüllt die Anforderung, dass die Azure AD-Identitäten auch nach dem Löschen der Logic App bestehen bleiben sollen. Anschließend werden rollenbasierte Zugriffssteuerungen (RBAC) zugewiesen, um der Identität die notwendigen Berechtigungen für den sicheren Zugriff auf das Azure Blob Storage-Konto zu erteilen. Eine systemseitig zugewiesene verwaltete Identität (System-Assigned Managed Identity) wäre an die Lebensdauer der Logic App gebunden und würde mit ihr gelöscht, was der Anforderung widerspricht. Das Erstellen einer benutzerdefinierten Azure AD-Rolle allein reicht nicht aus, da die Logic App immer noch eine Identität benötigt, der diese Rolle zugewiesen werden kann. Die Verwendung von Azure Key Vault und Clientzertifikaten ist eine komplexere Authentifizierungsmethode, die für dieses Szenario nicht primär erforderlich ist, da verwaltete Identitäten eine einfachere und sicherere Lösung für den Dienst-zu-Dienst-Zugriff bieten.