Je beheert een VM scale set en meerdere Function Apps die toegang moeten hebben tot Azure Key Vault en Azure Storage met een gemeenschappelijke, herbruikbare identiteit voor resources en regio's. De identiteit moet langer meegaan dan een enkele resource. De workloads moeten ook OAuth-tokens verkrijgen om een partner-API aan te roepen die Entra ID vertrouwt, zonder geheimen op te slaan. Wat moet je doen? Elk correct antwoord is een deel van de oplossing.

Een user-assigned managed identity (door de gebruiker toegewezen beheerde identiteit) is de juiste keuze omdat deze onafhankelijk van een specifieke resource bestaat en kan worden gedeeld over meerdere services (VM scale set, Function Apps) en regio's, wat voldoet aan de eis van een herbruikbare identiteit die langer meegaat dan een enkele resource. Het toewijzen van de rollen Key Vault Secrets User en Storage Blob Data Contributor geeft de benodigde toegang tot Key Vault en Azure Storage. Om OAuth-tokens te verkrijgen voor een partner-API die Entra ID vertrouwt, moet de code tokens aanvragen via het managed identity endpoint (IMDS voor VM's of het App Service token endpoint), waarbij de application ID URI van de partner-API wordt opgegeven. Dit elimineert de noodzaak om geheimen op te slaan. System-assigned managed identities zijn gekoppeld aan de levensduur van een enkele resource en kunnen niet worden gedeeld. Een app-registratie met een client secret vereist het opslaan en beheren van geheimen, wat in strijd is met de vereiste. De Azure AD Graph API is verouderd en managed identities ondersteunen wel degelijk Microsoft Graph en andere Entra ID-vertrouwende API's.