Hai un'app Web di Azure e più app Funzione di Azure che devono caricare segreti (stringhe di connessione, certificati) da Azure Key Vault. I segreti non devono essere archiviati nel codice dell'app o nell'ambiente e desideri ridurre al minimo le modifiche in Azure AD. Quale approccio dovresti usare per accedere a Key Vault dalle app?

L'identità gestita assegnata dall'utente (User-Assigned Managed Identity) è la soluzione più efficiente perché consente di creare una singola identità che può essere condivisa tra più servizi Azure (Web App e Funzioni di Azure). Questo riduce al minimo le modifiche in Azure AD, come richiesto, e semplifica la gestione delle autorizzazioni a Key Vault. Creare un singolo service principal di Azure AD con un client secret (opzione 2) richiederebbe la gestione del secret all'interno delle app, violando il requisito di non archiviare segreti nel codice o nell'ambiente. Creare un'identità gestita assegnata dal sistema per ogni servizio app (opzione 3) funzionerebbe, ma sarebbe meno efficiente in termini di gestione rispetto a una singola identità assegnata dall'utente, poiché ogni app avrebbe la propria identità separata. Creare un service principal di Azure AD per ogni servizio app con un certificato (opzione 4) è eccessivamente complesso e richiederebbe la gestione di certificati, che è più onerosa rispetto all'uso di identità gestite.