Tiene una cuenta de almacenamiento llamada storage1 y dos aplicaciones web llamadas app1 y app2. Ambas aplicaciones escribirán datos en storage1. Asegúrese de que cada aplicación pueda leer solo los datos que ha escrito. ¿Qué debe hacer?

La opción correcta es proporcionar a cada aplicación una clave de cifrado AES-256 codificada en Base64 única y configurar la aplicación para que envíe la clave con cada solicitud. Esto se debe a que el cifrado del lado del cliente es la única forma de garantizar que una aplicación solo pueda leer los datos que ha escrito. Al cifrar los datos con una clave única antes de enviarlos a storage1, cada aplicación puede descifrar y acceder solo a sus propios datos. Las otras opciones no logran este nivel de segregación. Las identidades asignadas por el sistema o administradas por el usuario con autenticación de Azure AD (opciones 1 y 3) controlan el acceso a la cuenta de almacenamiento en general, no a datos específicos dentro de ella. Esto significa que si una aplicación tiene permisos para escribir, también podría leer los datos escritos por otra aplicación. Las claves de cuenta de almacenamiento separadas (opción 2) son credenciales para acceder a la cuenta de almacenamiento completa, no para segregar datos a nivel de objeto dentro de ella.