Вы управляете масштабируемым набором виртуальных машин (VM scale set) и несколькими Function Apps, которым требуется доступ к Azure Key Vault и Azure Storage с использованием общей, многократно используемой идентификации для разных ресурсов и регионов. Идентификация должна существовать дольше, чем любой отдельный ресурс. Рабочим нагрузкам также необходимо получать токены OAuth для вызова партнерского API, который доверяет Entra ID, без хранения секретов. Что вы должны сделать? Каждый правильный ответ представляет часть решения.

Создание управляемого удостоверения, назначаемого пользователем, является правильным, поскольку оно позволяет использовать общую, многократно используемую идентификацию для нескольких ресурсов и регионов, которая существует независимо от жизненного цикла отдельных ресурсов. Системные управляемые удостоверения привязаны к одному ресурсу и удаляются вместе с ним, что не соответствует требованию о долговечности. Регистрация приложения с клиентским секретом требует управления секретами, что противоречит требованию не хранить секреты. Запрос токенов для партнерского API через конечную точку управляемого удостоверения (IMDS для ВМ, конечная точка токена App Service для Function Apps) позволяет рабочим нагрузкам получать токены OAuth для вызова API, доверяющего Entra ID, без хранения учетных данных. Использование устаревшего Azure AD Graph API не является рекомендуемым подходом, так как управляемые удостоверения поддерживают Microsoft Graph и другие API, доверяющие Entra ID.