Azure Web Appと複数のAzure Functionアプリがあり、Azure Key Vaultからシークレット（接続文字列、証明書）をロードする必要があります。シークレットはアプリのコードや環境に保存してはならず、Azure ADの変更を最小限に抑えたいと考えています。アプリからKey Vaultにアクセスするには、どのようなアプローチを使用すべきですか？

このアプローチが正しいのは、ユーザー割り当てマネージドIDが複数のAzureサービスで共有できるため、Azure ADの変更を最小限に抑えつつ、シークレットへの安全なアクセスを可能にするからです。各App Serviceは、この単一のIDを使用してKey Vaultに認証し、シークレットを取得できます。 他の選択肢が不適切な理由は以下の通りです。 単一のAzure ADサービスプリンシパルとクライアントシークレットを使用する方法は、クライアントシークレットをアプリのコードや環境に保存する必要があるため、要件に反します。 各App Serviceにシステム割り当てマネージドIDを作成する方法は、各アプリに個別のIDが必要となり、Azure ADの変更を最小限に抑えるという要件に反します。 各App Serviceに個別のサービスプリンシパルと証明書を使用する方法も、管理が複雑になり、Azure ADの変更を最小限に抑えるという要件に反します。