Een on-premises Server1 host een ASP.NET-app App1 onder IIS. Je bent van plan App1 te containeriseren en te implementeren naar Azure App Service; de containerimage wordt opgeslagen in een Azure Container Registry genaamd ACR1. Met behulp van de App Containerization-tool van Azure Migrate moet je de tool het minimaal noodzakelijke privilege verlenen om de image naar ACR1 te pushen. Welk type credential moet de tool gebruiken?

Een service principal is de juiste keuze omdat deze een veilige en geautomatiseerde manier biedt voor Azure-services om te communiceren. De App Containerization-tool, die namens u werkt, heeft programmatische toegang nodig tot ACR1 om de gecontaineriseerde image te pushen. Een service principal kan worden geconfigureerd met de minimale benodigde rechten (bijvoorbeeld AcrPush-rol op ACR1), wat het principe van minimale privileges volgt. Een managed identity is niet direct van toepassing, omdat de tool on-premises draait en geen Azure-resource is die automatisch een managed identity kan verkrijgen. Het admin-gebruikersaccount van ACR1 wordt afgeraden vanwege beveiligingsrisico's; het verleent te veel privileges. Een Microsoft Entra-gebruiker is bedoeld voor interactieve aanmeldingen en is niet optimaal voor geautomatiseerde processen.