为 Azure 资源创建用户分配的托管标识的最佳做法是什么？

Question

我们应该为资源访问的所有服务创建一个用户分配的身份，还是应该为资源访问的每个服务创建一个？

示例：我的 WebApp 需要访问 eventhub、servicebus、storageContainer 等。我是否应该创建三个身份（user_assigned_eventhub、user_assigned_servicebus、{{ 1}}) 为每个服务创建一个，还是创建一个 (user_Assigned_storage) 并使用此身份访问所有服务？

Answer 1

<块引用>

创建一个 (user_assigned_webApp) 并使用此身份访问所有服务

这是正确的，您只需要创建一个用户分配的身份，然后在您的示例中，导航到门户中的 Web 应用程序 -> Identity -> User assigned -> 将其添加到您的 Web 应用程序，然后您可以使用此 MSI（托管身份）来访问其他资源。使用MSI访问其他资源时，用MSI代表客户端，资源端不需要，所以不需要为它们创建MSI。