azure - AAD 和 MSI 之间的区别

Question

我是 Azure 新手。在使用 Azure SDK 探索 Azure KMS 服务使用情况时(因为我需要我的应用程序与 Azure 服务进行通信)，我遇到了 AAD，我在其中进行了新应用程序注册，然后在 KMS 中使用服务主体.

现在，我可以使用托管服务身份实现相同的目标。那么两种方法之间有什么区别。哪一种最好？

以下是引用链接:

[https://learn.microsoft.com/en-us/azure/active-directory/managed-identities-azure-resources/overview][1]

Answer 1

一般来说，使用托管身份(系统分配的或用户分配的)比您自己管理的应用注册更好。

当您创建应用程序注册(Application 对象)并在租户中实例化该应用程序(ServicePrincipal 对象)时，您必须管理该应用程序的凭据。您需要安全地生成、存储和更新凭据( secret 或证书)，并且需要在应用程序代码中使用此凭据来获取访问 token 。

托管标识还将在 Azure AD 中具有相应的 ServicePrincipal 对象。然而，使用托管身份，您不再需要担心生成、更新或保护凭证。所有这些都由服务为您管理，为您提供一个非常简单的界面来获取 token ，并让您专注于构建您的解决方案。

在某些情况下，您无法直接使用托管身份(例如，如果您正在构建 Web 应用程序并想要实现授权代码流程，则无法使用托管身份作为 OAuth 2.0 客户端)。在这些情况下，使用托管标识来引导应用程序对凭据的访问通常非常有用:使用服务的托管标识来访问存储在 Azure Key Vault 中的证书或 secret ，然后使用该凭据作为常规的一部分OAuth 2.0 流程(例如使用 MSAL 库)。