Je hebt een Azure Web App en meerdere Azure Function apps die geheimen (connection strings, certificaten) moeten laden vanuit Azure Key Vault. Geheimen mogen niet worden opgeslagen in app-code of de omgeving, en je wilt wijzigingen in Azure AD minimaliseren. Welke aanpak moet je gebruiken voor toegang tot Key Vault vanuit de apps?

Een door de gebruiker toegewezen Managed Identity (UMIs) is de meest geschikte oplossing. UMI's kunnen worden gedeeld door meerdere Azure-resources (Web Apps en Function Apps in dit geval) en bieden een veilige, sleutelloze authenticatiemethode voor Key Vault. Dit minimaliseert wijzigingen in Azure AD, omdat u slechts één identiteit hoeft te beheren. Een Azure AD service principal met een client secret is minder veilig omdat het secret moet worden beheerd en geroteerd. Een door het systeem toegewezen Managed Identity (SMIs) is gekoppeld aan één resource en kan niet worden gedeeld, wat resulteert in meer beheer overhead. Meerdere service principals met certificaten zijn ook complexer te beheren en te roteren.