Tiene una aplicación web de Azure y varias aplicaciones de Azure Functions que necesitan cargar secretos (cadenas de conexión, certificados) desde Azure Key Vault. Los secretos no deben almacenarse en el código o el entorno de la aplicación, y desea minimizar los cambios en Azure AD. ¿Qué enfoque debe usar para acceder a Key Vault desde las aplicaciones?

Una Managed Identity asignada por el usuario es la mejor opción porque permite que múltiples servicios de Azure (en este caso, la aplicación web y las Azure Functions) compartan la misma identidad para acceder a Key Vault. Esto simplifica la administración de permisos, ya que solo necesita configurar los permisos de acceso para una única identidad en Key Vault, en lugar de para cada servicio individualmente. Además, al ser una Managed Identity, Azure se encarga de la gestión de credenciales, eliminando la necesidad de almacenar secretos en el código o el entorno de la aplicación, y minimiza los cambios en Azure AD al no requerir la creación de múltiples Service Principals. Las Managed Identities asignadas por el sistema requerirían configurar una identidad y permisos para cada App Service individualmente, lo que es menos eficiente. Los Service Principals con secretos de cliente o certificados requieren la gestión manual de esas credenciales, lo que va en contra del requisito de no almacenar secretos en el código o el entorno.