Begreb
Managed identity
•
2 min
•
Grundlæggende
En managed identity (administreret identitet) er en workload-identitet i Microsoft Entra ID, som knyttes til en understøttet Azure-ressource. Workloaden kan hente adgangstokens uden et password, en client secret eller et certifikat i kode og konfiguration.
Azure administrerer de underliggende legitimationsoplysninger. Målressourcen skal understøtte Microsoft Entra-godkendelse, og identiteten skal have særskilt tilladelse til handlingen.
Hvorfor er begrebet vigtigt?
Managed identities reducerer behovet for at distribuere, beskytte og rotere applikationshemmeligheder. Det mindsker risikoen for, at legitimationsoplysninger ender i kode, konfigurationsfiler eller pipelines.
Identiteten får en principal i Microsoft Entra ID, som kan tildeles adgang og spores i logs. Autentificering og autorisation kan dermed styres sammen med workloadens infrastruktur.
Typisk misforståelse
En managed identity giver ikke automatisk adgang. Den beviser workloadens identitet, men kræver stadig en rolle eller anden tilladelse på målressourcen.
"Uden hemmeligheder" betyder heller ikke uden risiko. Personer, der kan køre kode på kilderessourcen, kan muligvis bruge identitetens rettigheder. En delt user-assigned identity kan derfor øge konsekvensen af for brede tilladelser.
Eksempel
En Azure App Service skal læse filer fra en storage account. Teamet aktiverer en managed identity, giver den en afgrænset læsetilladelse og bruger Azure Identity-biblioteket til at hente et token. Applikationen behøver derfor ingen storage key.
En system-assigned identity slettes sammen med App Service-ressourcen. En user-assigned identity oprettes separat, kan bruges af flere ressourcer og bevarer sin egen livscyklus.
Best practice
Brug system-assigned identity til én ressource og fælles livscyklus.
Brug user-assigned identity ved genbrug, forhåndstildelt adgang eller uafhængig livscyklus.
Giv kun nødvendige rettigheder på mindst muligt scope.
Begræns hvem der må tilknytte identiteten eller køre kode på kilderessourcen.
Opret identitet og rolletildelinger som kode, og dokumentér ejer og formål.
Overvåg login og aktivitet; fjern ubrugte identiteter og rolletildelinger.
Frequently asked questions
En system-assigned identity tilhører én Azure-ressource og følger dens livscyklus. En user-assigned identity er selvstændig, kan knyttes til flere ressourcer og skal slettes særskilt.
Kun når målressourcen understøtter Microsoft Entra-godkendelse, og identiteten er autoriseret. Ellers kræves en anden sikker adgangsmetode.