Wdrożono aplikację Logic App, która wywołuje funkcję Azure Function (z definicją OpenAPI) uzyskującą dostęp do konta usługi Azure Blob storage. Wszystkie zasoby są chronione przez usługę Azure AD. Aplikacja Logic App musi bezpiecznie uzyskiwać dostęp do usługi Blob storage, a wszelkie tożsamości usługi Azure AD powinny być zachowane nawet po usunięciu aplikacji Logic App. Którą opcję należy wybrać?

Poprawna odpowiedź to „Utwórz tożsamość zarządzaną przypisaną przez użytkownika i przypisz kontrolę dostępu opartą na rolach”. Tożsamości zarządzane przypisane przez użytkownika są niezależnymi zasobami Azure, które mogą być przypisane do wielu zasobów Azure (takich jak Logic Apps i Azure Functions). Pozostają one w Azure AD nawet po usunięciu zasobu, do którego były przypisane, spełniając wymaganie zachowania tożsamości. Przypisanie kontroli dostępu opartej na rolach (RBAC) do tej tożsamości zapewnia bezpieczny dostęp do Azure Blob Storage. Pozostałe opcje są nieprawidłowe: Tworzenie niestandardowej roli Azure AD i przypisywanie jej bezpośrednio do konta Blob Storage nie zapewnia tożsamości dla Logic App. Azure Key Vault i certyfikaty klienta są używane do przechowywania sekretów i uwierzytelniania, ale nie tworzą tożsamości zarządzanej dla aplikacji. Tożsamość zarządzana przypisana przez system jest powiązana z cyklem życia zasobu (np. Logic App) i zostanie usunięta wraz z nim, co jest sprzeczne z wymaganiem zachowania tożsamości. Tworzenie niestandardowej roli Azure AD i przypisywanie RBAC bez tożsamości zarządzanej nie rozwiązuje problemu uwierzytelniania Logic App.