您有一個 Azure Web App 和多個 Azure Function 應用程式，需要從 Azure Key Vault 載入機密（連接字串、憑證）。機密不得儲存在應用程式程式碼或環境中，而且您希望最大限度地減少 Azure AD 中的變更。您應該使用哪種方法從應用程式存取 Key Vault？

使用者指派的受控識別（User-assigned Managed Identity）是此情境的最佳解。它允許您建立一個獨立的識別，並將其指派給多個 Azure 服務（Web App 和 Function App），從而簡化管理並減少 Azure AD 中的變更。透過將此受控識別授予 Key Vault 存取權，所有相關應用程式都能安全地載入機密，而無需在程式碼或環境中儲存任何認證。 系統指派的受控識別（System-assigned Managed Identity）會為每個服務建立一個獨立識別，這會增加管理複雜度，且不符合「最小化 Azure AD 變更」的要求。建立 Azure AD 服務主體並使用用戶端密碼或憑證，雖然可行，但需要手動管理密碼或憑證的生命週期，且不如受控識別安全和方便。