Wdrożono aplikację internetową Azure App Service o nazwie App1 i utworzono Azure Key Vault o nazwie Vault1 zawierający klucze API, hasła, certyfikaty i klucze. Musisz przyznać aplikacji App1 dostęp do Vault1, wspierać automatyczną rotację poświadczeń i unikać przechowywania poświadczeń w kodzie. Co należy zrobić?

Prawidłowa odpowiedź to przypisanie tożsamości zarządzanej do App1. Tożsamości zarządzane dla zasobów Azure (Managed Identities for Azure Resources) zapewniają tożsamość dla aplikacji w Azure Active Directory. Dzięki temu App1 może uwierzytelniać się w Vault1 bez konieczności przechowywania jakichkolwiek poświadczeń w kodzie aplikacji. Po przypisaniu tożsamości zarządzanej, należy nadać tej tożsamości odpowiednie uprawnienia dostępu (np. Get, List) do kluczy, sekretów i certyfikatów w Vault1 za pomocą zasad dostępu Key Vault. To rozwiązanie wspiera również automatyczną rotację poświadczeń, ponieważ aplikacja zawsze używa swojej tożsamości, a nie statycznych kluczy. Włączenie uwierzytelniania App Service dla App1 i przypisanie niestandardowej roli RBAC w Vault1 jest nieprawidłowe, ponieważ uwierzytelnianie App Service dotyczy uwierzytelniania użytkowników końcowych, a nie samej aplikacji. Dodanie powiązania TLS/SSL do App1 jest nieprawidłowe, ponieważ służy do zabezpieczania komunikacji z aplikacją, a nie do uwierzytelniania aplikacji w innych usługach. Przesłanie certyfikatu klienta z podpisem własnym do Vault1 i skonfigurowanie App1 do używania tego certyfikatu jest nieprawidłowe, ponieważ wymagałoby zarządzania certyfikatem i jego przechowywania, co jest sprzeczne z celem unikania przechowywania poświadczeń.