Usted ejecuta un Azure App Service con ranuras de producción y staging. La aplicación lee secretos de Azure Key Vault utilizando referencias de Key Vault en la configuración de la aplicación. Necesita que ambas ranuras utilicen la misma identidad al acceder a Key Vault para que los intercambios de ranuras no requieran cambios de acceso a Key Vault. ¿Qué debería hacer?

La creación de una identidad administrada asignada por el usuario (User-Assigned Managed Identity, UAMI) y su asignación a ambas ranuras (producción y staging) es la solución correcta. Esto permite que ambas ranuras compartan la misma identidad, simplificando la gestión de permisos en Key Vault, ya que solo se necesita conceder acceso a una única identidad. Cuando se realiza un intercambio de ranuras, la identidad permanece constante, eliminando la necesidad de reconfigurar los permisos de acceso a Key Vault. La opción de especificar el client ID de la UAMI en la sintaxis de referencia de Key Vault es también correcta porque asegura que la aplicación utilice explícitamente esa identidad para acceder a los secretos, lo cual es fundamental cuando se comparte la misma UAMI entre ranuras. Las identidades asignadas por el sistema son específicas de cada ranura y no se transfieren con los intercambios, lo que requeriría gestionar permisos para dos identidades separadas. Conceder acceso al nombre principal de la aplicación no es la forma correcta de gestionar permisos para identidades administradas.