Ha implementado una Logic App que invoca una Azure Function (con una definición OpenAPI) que accede a una cuenta de Azure Blob Storage. Todos los recursos están protegidos por Azure AD. La Logic App debe acceder de forma segura al Blob Storage, y cualquier identidad de Azure AD debe persistir incluso si la Logic App se elimina. ¿Qué opción debe elegir?

Una identidad administrada asignada por el usuario (UAMI) es la opción correcta porque su ciclo de vida es independiente del recurso de Azure al que se asigna. Esto significa que si la Logic App se elimina, la UAMI y sus permisos persisten, cumpliendo el requisito de que "cualquier identidad de Azure AD debe persistir incluso si la Logic App se elimina". Luego, se asignan controles de acceso basados en roles (RBAC) a esta UAMI para otorgarle los permisos necesarios para acceder a Azure Blob Storage. Las identidades administradas asignadas por el sistema (SAMI) tienen un ciclo de vida vinculado al recurso, por lo que se eliminarían con la Logic App. Crear roles personalizados de Azure AD no es suficiente por sí solo, ya que se necesita una identidad para asignar esos roles. Azure Key Vault y los certificados de cliente son para escenarios de autenticación diferentes, no para la autenticación de servicios de Azure entre sí utilizando Azure AD.