Вы будете развертывать приложение (App1) на нескольких виртуальных машинах Azure сейчас и в будущем. Требования к этим ВМ: они должны проходить аутентификацию в Azure AD для доступа к Azure Key Vault, Azure Logic Apps и Azure SQL Database; вы должны избегать назначения новых ролей или учетных данных каждый раз при добавлении новых ВМ; секреты и сертификаты не должны храниться на ВМ; а накладные расходы на управление идентификацией должны быть минимизированы. Какой тип удостоверения следует использовать?

Управляемое удостоверение, назначаемое пользователем, является правильным выбором, поскольку оно соответствует всем требованиям. Вы можете создать одно удостоверение, назначаемое пользователем, назначить ему необходимые разрешения для Key Vault, Logic Apps и SQL Database, а затем прикрепить это же удостоверение ко всем существующим и будущим виртуальным машинам. Это позволяет избежать создания новых ролей или учетных данных для каждой виртуальной машины, не требует хранения секретов или сертификатов на виртуальных машинах и минимизирует накладные расходы на управление. Управляемое удостоверение, назначаемое системой, привязывается к жизненному циклу конкретной виртуальной машины, что означает, что вам придется настраивать разрешения для каждой новой виртуальной машины. Субъект-служба с сертификатом или секретом клиента требует ручного управления секретами или сертификатами, что противоречит требованию не хранить их на виртуальных машинах и увеличивает накладные расходы на управление.