Si esegue un Servizio app di Azure con slot di produzione e di staging. L'app legge i segreti da Azure Key Vault utilizzando i riferimenti di Key Vault nelle impostazioni dell'app. È necessario che entrambi gli slot utilizzino la stessa identità quando accedono a Key Vault in modo che gli scambi di slot non richiedano modifiche all'accesso a Key Vault. Cosa si dovrebbe fare?

Per garantire che entrambi gli slot utilizzino la stessa identità, è necessario creare un'identità gestita assegnata dall'utente. Questa identità può essere collegata a più risorse, inclusi entrambi gli slot dell'App Service, e le autorizzazioni di accesso a Key Vault vengono concesse direttamente a questa identità. In questo modo, gli scambi di slot non influiscono sull'accesso a Key Vault. L'opzione di specificare l'ID client dell'identità gestita assegnata dall'utente nella sintassi di riferimento di Key Vault è un modo per garantire che l'App Service utilizzi esplicitamente tale identità per accedere ai segreti, rafforzando la soluzione. L'uso di identità gestite assegnate dal sistema per ogni slot non è ideale perché ogni slot avrebbe un'identità diversa, richiedendo la gestione di autorizzazioni separate e non garantendo la stessa identità dopo uno scambio. Concedere l'accesso al nome principale dell'app non è la pratica standard per le identità gestite e non risolve il problema di avere identità diverse per gli slot.