Disponibilidad general: actualización de las opciones de configuración de secretos en App Service y Azure Functions

Las referencias de Key Vault ahora ofrecen una mayor compatibilidad con redes en Windows y Linux, así como la capacidad de designar una identidad asignada por el usuario. También se permite que las aplicaciones accedan a su paquete de contenido desde Blob Storage usando la identidad de la aplicación.

Las referencias de Key Vault permiten que la aplicación use una identidad administrada para resolver secretos de Azure Key Vault y exponerlos como variables de entorno. Esto permite que los equipos muevan los secretos fácilmente a la administración sin realizar cambios en el código. En una actualización anterior, se agregó la capacidad de las aplicaciones de Windows para usar integraciones de red virtual al resolver secretos de Key Vault. Ahora, esa misma capacidad está disponible para las aplicaciones de Linux y se han eliminado las restricciones para usar la integración de redes y la rotación automática.

Las referencias de Key Vault han dependido siempre de la identidad de la aplicación asignada por el sistema. Con la actualización de hoy, las aplicaciones pueden especificar una identidad asignada por el usuario que se usará en su lugar para acceder a los secretos. Esto simplifica en gran medida determinados flujos de trabajo de automatización, ya que la identidad se puede crear y se le puede asignar el permiso de acceso al almacén antes de que se cree la propia aplicación.

Aunque estas características hacen que la administración de secretos sea mucho más sencilla, a menudo es preferible quitar los secretos por completo del flujo de trabajo y depender directamente de la identidad. Las aplicaciones que usan la funcionalidad de ejecución desde el paquete pueden aprovechar una firma de acceso compartido (SAS), que ofrece muchas ventajas en comparación con un secreto, pero requiere cierto trabajo de administración. Desde hoy, las aplicaciones pueden usar simplemente una identidad administrada, siempre y cuando a la aplicación se le haya concedido acceso a la cuenta de almacenamiento.

De igual manera, las aplicaciones deberían aprovechar las bibliotecas cliente del SDK de Azure más recientes, ya que esto facilitará la conexión a los servicios de Azure usando una identidad del código de la aplicación. Para Azure Functions, anunciamos recientemente la compatibilidad con una conexión basada en identidades en versión preliminar, que permite el uso de identidades asignadas por el sistema o por el usuario con el entorno de ejecución, los desencadenadores y los enlaces de Functions.

Más información sobre la compatibilidad con conexiones basadas en identidades para Azure Functions