Como funciona a Autenticação por Identidades Gerenciadas no Azure

A autenticação moderna no ecossistema de nuvem do Azure, facilitada pelas identidades gerenciadas, é um pilar fundamental da estratégia de segurança "segredo zero". Quando um aplicativo cliente solicita um token de acesso usando uma identidade gerenciada, ele está, na verdade, pedindo uma prova de identidade criptográfica para se apresentar a um recurso de destino, como o Key Vault. A base desse token não é uma senha, mas sim a representação formal desse aplicativo dentro do sistema de identidade centralizado do Azure.

O alicerce ou a "base" de qualquer identidade gerenciada, seja ela atribuída pelo sistema ou pelo usuário, é a entidade de segurança (conhecida como Service Principal). Quando uma identidade gerenciada é habilitada para um recurso do Azure (como uma VM ou um App Service), o Azure cria um registro formal para esse recurso dentro do Microsoft Entra ID (antigo Azure Active Directory). Esta entidade de segurança é a identidade concreta; é o "sujeito" ao qual as permissões, como as funções RBAC (Role-Based Access Control) que atribuímos anteriormente, são concedidas. Portanto, o token de acesso é "baseado" nessa entidade, pois ele é a prova de que o solicitante é quem essa entidade de segurança diz ser.

O token em si, que serve como a manifestação tangível dessa identidade, é um JSON Web Token (JWT). A segurança e a validade desse token não derivam de um segredo compartilhado, mas sim de sua assinatura digital, que é fornecida pelo próprio Microsoft Entra ID atuando como o serviço de autenticação. Como discutimos, é essa assinatura criptográfica que garante ao recurso de destino (como o Key Vault) que o token é autêntico, íntegro e não foi falsificado por um terceiro. O token contém "reivindicações" (claims) que detalham quem é o solicitante (o ID da entidade de segurança) e para qual recurso (audiência) ele foi emitido.

Em suma, a base do token de acesso solicitado por uma identidade gerenciada é a entidade de segurança registrada no Microsoft Entra ID, que serve como o pilar de identidade do aplicativo. O token é a prova criptográfica dessa identidade, materializada em um JWT assinado digitalmente, que permite ao aplicativo autenticar-se em outros serviços do Azure sem a necessidade de gerenciar ou expor senhas e chaves secretas no código-fonte.