Guia passo a passo: como atribuir uma identidade a uma VM no Azure

O uso de identidades gerenciadas em máquinas virtuais do Azure é uma prática essencial para eliminar o uso de credenciais fixas, aumentar a segurança e simplificar integrações com serviços como Key Vault, Storage, SQL e APIs protegidas pelo Microsoft Entra ID. 

O primeiro passo é garantir que você possui permissões adequadas. A conta que executa a configuração precisa ter, no mínimo, a função de Colaborador da Máquina Virtual no recurso da VM. Caso vá utilizar identidade gerenciada atribuída pelo usuário, também será necessário ter a função Operador de Identidade Gerenciada.

Com as permissões confirmadas, acesse o Portal do Azure e localize a máquina virtual desejada. Ao entrar no painel da VM, navegue até a seção de identidade, normalmente encontrada nas configurações da máquina. Essa área concentra todas as opções relacionadas a Managed Identity.

Para habilitar uma identidade gerenciada atribuída pelo sistema, selecione a opção correspondente dentro da aba de identidade. Altere o status para ativado e salve as alterações. Nesse momento, o Azure cria automaticamente uma identidade no Microsoft Entra ID vinculada exclusivamente àquela VM. Essa identidade passa a existir junto com a máquina virtual e será removida automaticamente se a VM for excluída.

Se o cenário exigir uma identidade reutilizável ou compartilhada entre múltiplos recursos, o próximo passo é trabalhar com uma identidade gerenciada atribuída pelo usuário. Antes de associá-la à VM, essa identidade precisa existir como um recurso separado no Azure. Após criada, volte à configuração de identidade da VM, selecione a aba de identidades atribuídas pelo usuário, clique para adicionar uma nova identidade e escolha a identidade desejada. Salve a configuração para concluir a associação.

Após habilitar a identidade, o passo seguinte é conceder permissões a essa identidade nos recursos que ela deverá acessar. Isso é feito por meio de controle de acesso baseado em função, atribuindo permissões diretamente à identidade gerenciada no recurso de destino, como um cofre de chaves, conta de armazenamento ou banco de dados. Esse ponto é fundamental, pois a identidade só autentica, mas não possui permissões por padrão.

Com a identidade ativa e as permissões atribuídas, aplicações que rodam dentro da VM podem solicitar tokens de acesso automaticamente. Esse processo acontece por meio do endpoint de metadados da própria máquina, sem necessidade de usuário, senha, certificado ou segredo armazenado. O token obtido é válido por tempo limitado e renovado automaticamente pelo Azure.

Esse mesmo processo também pode ser realizado via automação. Ao utilizar Azure CLI ou PowerShell, é possível habilitar identidades gerenciadas em VMs existentes ou novas durante o provisionamento. Isso permite integrar o uso de Managed Identity em pipelines de infraestrutura como código, garantindo padronização e segurança desde a criação do recurso.

Após a configuração, é recomendável validar o funcionamento acessando a VM e testando o acesso ao recurso protegido, como uma leitura de segredo no Key Vault ou uma consulta a um serviço que utilize autenticação do Entra ID. Esse teste confirma que a identidade está ativa, que o token está sendo emitido corretamente e que as permissões estão adequadas.

Do ponto de vista arquitetural, a adoção de identidades gerenciadas reduz drasticamente riscos operacionais, elimina segredos expostos e facilita auditorias de acesso. Além disso, o uso combinado com RBAC e princípios de menor privilégio fortalece a postura de segurança do ambiente Azure como um todo.

Me acompanhe em outras redes sociais: iamjuliaribeiro | Instagram, Twitch | Linktree