Managed Identity Azure

Définition

Les Managed Identities (identités managées) Azure permettent aux applications et services Azure d'obtenir automatiquement des tokens d'authentification Azure AD pour accéder à d'autres services Azure (Azure Key Vault, Azure SQL, Azure Storage, etc.) sans gérer de credentials dans le code. Elles constituent l'équivalent Azure des Instance Profiles AWS. Il existe deux types de Managed Identities. Les System-assigned Managed Identities sont créées et liées à une ressource Azure spécifique (VM, App Service, Function App, AKS) : leur cycle de vie est lié à celui de la ressource (supprimées quand la ressource est supprimée). Les User-assigned Managed Identities sont des ressources Azure indépendantes créées séparément et pouvant être assignées à plusieurs ressources : leur cycle de vie est géré indépendamment. L'authentification avec Managed Identity fonctionne via l'endpoint de métadonnées d'instance Azure (http://169.254.169.254/metadata/identity/oauth2/token) ou via le Azure Instance Metadata Service (IMDS). Les SDKs Azure (Azure.Identity, MSAL) gèrent automatiquement l'acquisition et le renouvellement des tokens via la DefaultAzureCredential chain, rendant l'intégration transparente. Les avantages de sécurité des Managed Identities sont significatifs : élimination des credentials statiques dans le code et les fichiers de configuration, rotation automatique des tokens, traçabilité complète dans Azure AD audit logs. Elles remplacent les Service Principals avec des secrets ou certificats qui nécessitaient une gestion manuelle de la rotation. Les risques de sécurité incluent : des Managed Identities avec des rôles RBAC trop larges (Owner, Contributor) permettant une escalade de privilèges si la ressource hôte est compromise, et des User-assigned Managed Identities assignées à de nombreuses ressources créant un "blast radius" large en cas de compromission.