В клиенте contoso.com у вас есть веб-приложение App1 в App Service и Key Vault KV1, содержащий wildcard-сертификат для contoso.com. User1 является владельцем как App1, так и KV1. Что следует сделать в первую очередь, чтобы настроить App1 на использование wildcard-сертификата, хранящегося в KV1?

Для того чтобы App1 мог получить доступ к сертификату в KV1, App1 должен быть аутентифицирован в Key Vault. Назначение управляемого удостоверения, назначаемого пользователем, для App1 является первым шагом, поскольку это удостоверение затем может быть авторизовано для доступа к KV1. Управляемые удостоверения позволяют службам Azure аутентифицироваться в других службах без необходимости управлять учетными данными вручную. Создание политики доступа для KV1 и назначение Microsoft Azure App Service principal не является первым шагом, так как App Service как таковой не имеет прямого доступа к конкретному Key Vault; для этого требуется удостоверение, связанное с App1. Настройка KV1 на использование RBAC не является первым шагом, поскольку даже при использовании RBAC App1 все равно потребуется удостоверение для аутентификации. Создание политики доступа для KV1 и назначение этой политики User1 не поможет, так как User1 является пользователем, а не службой, и App1 не будет использовать учетные данные User1 для доступа к KV1.