È stata distribuita una web app di Azure App Service denominata App1 ed è stato creato un Azure Key Vault denominato Vault1 contenente chiavi API, password, certificati e chiavi. È necessario concedere ad App1 l'accesso a Vault1, supportare la rotazione automatica delle credenziali ed evitare di archiviare le credenziali nel codice. Cosa si dovrebbe fare?

Assegnare un'identità gestita ad App1 è la soluzione corretta. Le identità gestite per le risorse di Azure (Managed Identities for Azure Resources) consentono alle applicazioni di autenticarsi ai servizi che supportano l'autenticazione di Azure AD senza la necessità di credenziali nel codice. App1 otterrà automaticamente un'identità in Azure AD, che potrà poi essere autorizzata ad accedere a Vault1 tramite i criteri di accesso di Key Vault o il controllo degli accessi in base al ruolo (RBAC). Questo supporta la rotazione automatica delle credenziali (poiché non ci sono credenziali da ruotare nel codice) e soddisfa il requisito di non archiviare le credenziali nel codice. Abilitare l'autenticazione di App Service per App1 e assegnare un ruolo RBAC personalizzato su Vault1 non è direttamente correlato all'accesso di App1 a Key Vault. L'autenticazione di App Service (Easy Auth) gestisce l'autenticazione degli utenti finali all'app, non l'autenticazione dell'app ad altri servizi. Aggiungere un binding TLS/SSL ad App1 è per la sicurezza del traffico tra il client e App1, non per l'accesso di App1 a Vault1. Caricare un certificato client autofirmato in Vault1 e configurare App1 per utilizzare tale certificato richiederebbe la gestione del certificato e la sua configurazione in App1, introducendo complessità e potenziali problemi di sicurezza e rotazione manuale, contrariamente ai requisiti.