Azure

Managed Identity (verwaltete Identität)

Allgemeine Infos

Eine Managed Identity ist eine Identität in Microsoft Entra ID, die einer Azure-Ressource wie einer VM, einer Function App, einem App Service, einem AKS-Cluster oder einer Logic App zugeordnet wird. Der Code auf dieser Ressource fordert damit Zugriffstoken an, ohne dass Du Passwörter, Client Secrets oder Zertifikate verwaltest. Die Anmeldedaten sind für Dich nicht einmal einsehbar, Azure rotiert sie selbst.

Es gibt zwei Varianten. Eine systemseitig zugewiesene Identität entsteht mit der Ressource, gehört genau zu ihr und wird mit ihr gelöscht. Eine benutzerseitig zugewiesene Identität ist eine eigenständige Azure-Ressource, die Du mehreren Ressourcen zuordnen kannst und die bestehen bleibt, bis Du sie löschst. Für Microsoft-eigene Dienste empfiehlt Microsoft die benutzerseitige Variante.

Technisch ist jede Managed Identity ein besonderer Service Principal in Entra ID, ohne zugehörige App-Registrierung und nicht direkt bearbeitbar. Abgrenzung: Ein klassischer Service Principal mit App-Registrierung ist nötig, wenn Code außerhalb von Azure läuft oder ein Drittanbieter zugreifen soll, oft lässt sich aber auch dort per Workload Identity Federation auf Secrets verzichten.

Funktionsweise & Details

Der Ablauf in vier Schritten:

  1. Du aktivierst die systemseitige Identität an der Ressource oder legst eine benutzerseitige Identität an und weist sie zu.
  2. Du gibst der Identität Rechte auf das Ziel, meist über Azure RBAC (z. B. Key Vault Secrets User, Storage Blob Data Reader) oder über Graph-App-Berechtigungen.
  3. Der Code fordert über das Azure-Identity-SDK (etwa DefaultAzureCredential oder ManagedIdentityCredential) oder MSAL einen Token beim lokalen Identitätsendpunkt der Plattform an.
  4. Mit dem Token greift die Anwendung auf jeden Dienst zu, der Entra-Authentifizierung unterstützt, etwa Key Vault, Storage, Azure SQL, Service Bus oder Microsoft Graph.

Eine Managed Identity kann außerdem als föderierte Anmeldeinformation einer Entra-App dienen, statt Zertifikat oder Secret (bis zu 20 föderierte Anmeldeinformationen pro App). Erstellen, Ändern und Löschen erscheinen im Azure-Aktivitätsprotokoll, Anmeldungen in den Entra-Anmeldeprotokollen.

Vorteile & Nutzen

  • Keine Secrets im Code oder in der Konfiguration: Was nicht gespeichert ist, kann nicht abfließen oder ablaufen.
  • Automatische Rotation: Azure erneuert die Anmeldedaten, abgelaufene Secrets als Ausfallursache entfallen.
  • Kostenlos: Managed Identities verursachen keine Zusatzkosten.
  • Saubere Rechtevergabe: Jede Anwendung erhält eine eigene, über RBAC nachvollziehbare Identität.
  • Wiederverwendbar: Eine benutzerseitige Identität lässt sich vorab berechtigen und mehreren Ressourcen zuordnen, das vereinfacht Bereitstellungen per Bicep.

Praxisbeispiel

Ein Medizintechnik-Zulieferer mit 350 Mitarbeitenden betreibt eine Function App, die Bestellungen aus einem Service-Bus-Queue liest, Zugangsdaten für die Partner-API aus Key Vault holt und Belege in einem Storage-Konto ablegt. Bisher lagen drei Connection Strings in den App-Einstellungen. Die IT aktiviert eine systemseitige Managed Identity, vergibt die Rollen Azure Service Bus Data Receiver, Key Vault Secrets User und Storage Blob Data Contributor und stellt den Code auf DefaultAzureCredential um. Danach enthalten die App-Einstellungen keine Schlüssel mehr, und Schlüsselrotationen erfordern keine Anpassung der Function.

Worauf sollte man achten?

  • Nutze systemseitige Identitäten für einzelne Ressourcen und benutzerseitige, wenn mehrere Ressourcen dieselben Rechte brauchen oder Rechte vor der Bereitstellung stehen müssen.
  • Vergib minimale Rechte auf der kleinsten passenden Ebene (Ressource statt Abonnement).
  • Bereinige Rollenzuweisungen nach dem Löschen einer Ressource, verwaiste Zuweisungen erscheinen sonst als unbekannte Identität.
  • Behandle eine Ressource mit privilegierter Identität als privilegiertes System: Wer Code darauf ausführen kann, handelt mit deren Rechten.
  • Prüfe vorab, ob der Zieldienst Entra-Authentifizierung unterstützt, und deaktiviere dort die Schlüssel-Authentifizierung, wenn alles umgestellt ist.

Lizenz & Verfügbarkeit

Kostenlos und ohne gesonderte Entra-ID-Lizenz nutzbar, Bestandteil von Azure. Voraussetzung ist, dass Quell- und Zieldienst Managed Identities bzw. Entra-Authentifizierung unterstützen. Stand: Oktober 2026.

Fazit

Managed Identities sind der Standard für passwortlosen Zugriff zwischen Azure-Ressourcen. Wo sie verfügbar sind, ersetzt Du damit Connection Strings und Client Secrets.

Weiterführende Links

Verwandte Artikel