У вас есть Azure App Service с рабочим и промежуточным слотами. Приложение считывает секреты из Azure Key Vault, используя ссылки Key Vault в параметрах приложения. Вам необходимо, чтобы оба слота использовали одну и ту же идентификацию при доступе к Key Vault, чтобы переключение слотов не требовало изменения доступа к Key Vault. Что вы должны сделать?

Правильный ответ — создание назначаемого пользователем управляемого удостоверения и его прикрепление к обоим слотам. Это позволяет обоим слотам использовать одно и то же удостоверение для доступа к Key Vault, устраняя необходимость изменения разрешений при переключении слотов. Назначаемые пользователем удостоверения существуют независимо от жизненного цикла слота и могут быть назначены нескольким ресурсам. Второй правильный ответ — использование синтаксиса ссылки Key Vault, указывающего client ID назначаемого пользователем управляемого удостоверения. Это явно связывает ссылки Key Vault с конкретным удостоверением, обеспечивая согласованный доступ независимо от слота. Использование только системного управляемого удостоверения для каждого слота не подходит, так как каждое системное удостоверение уникально для своего слота, что потребует управления отдельными разрешениями для каждого слота. Предоставление доступа к имени субъекта приложения вместо object ID не решает проблему, поскольку разрешения по-прежнему привязаны к конкретному субъекту службы, а не к общему удостоверению для обоих слотов.