U gaat nu en in de toekomst een applicatie (App1) implementeren op meerdere virtuele Azure-machines. Vereisten voor deze VM's: ze moeten authenticeren met Azure AD om toegang te krijgen tot een Azure Key Vault, Azure Logic Apps en een Azure SQL Database; u moet voorkomen dat er nieuwe rollen of referenties worden toegewezen telkens wanneer er nieuwe VM's worden toegevoegd; geheimen en certificaten mogen niet op de VM's worden opgeslagen; en de overhead van identiteitsbeheer moet worden geminimaliseerd. Welk type identiteit moet u gebruiken?

Een door de gebruiker toegewezen beheerde identiteit (User-Assigned Managed Identity) is de beste keuze omdat deze onafhankelijk van de levenscyclus van de VM bestaat. Dit betekent dat u de identiteit één keer kunt maken, de benodigde machtigingen kunt toewijzen aan Key Vault, Logic Apps en SQL Database, en deze vervolgens aan meerdere VM's kunt koppelen zonder nieuwe rollen of referenties te hoeven toewijzen telkens wanneer een nieuwe VM wordt toegevoegd. Dit minimaliseert de overhead van identiteitsbeheer en voorkomt het opslaan van geheimen op de VM's. Een door het systeem toegewezen beheerde identiteit (System-Assigned Managed Identity) is gekoppeld aan de levenscyclus van een specifieke VM, wat onpraktisch is voor meerdere VM's. Service principals met certificaten of clientgeheimen vereisen handmatig beheer en rotatie van referenties, wat in strijd is met de eis om geheimen niet op de VM's op te slaan en de overhead te minimaliseren.