使用托管标识时，Azure是否仍需单独进行应用注册？需文档参考

你完全可以创建用户分配的托管标识作为独立身份用于授权，至于是否仍需应用注册，取决于你的具体场景——托管标识并非完全替代应用注册，两者适用的场景有明确区分。

核心概念区分 #

• 托管标识：是云平台（以Azure为例）提供的自动管理身份，分系统分配（与资源绑定，生命周期同步）和用户分配（独立创建，可跨资源复用）两类。本质是平台自动维护的特殊服务主体，无需手动管理密钥/证书，自动轮换凭据。
• 应用注册：是Azure AD中定义应用身份、认证规则、权限范围的核心对象，包含全局的「应用对象」和租户内的「服务主体」实例，支持自定义令牌配置、权限声明、跨租户访问等高级功能。

无需额外应用注册的场景 #

• 访问云原生托管服务：当你的托管标识仅用于访问平台原生服务（如Azure Storage、SQL Database、Key Vault）时，这些服务直接支持托管标识的RBAC权限验证，无需额外注册应用，只需为托管标识分配对应角色即可。
• 简单跨资源授权：使用用户分配的托管标识作为独立身份，仅需基础的客户端凭证流认证，且不需要自定义权限、令牌属性时，无需应用注册。

仍需应用注册的场景 #

• 自定义API或权限需求：如果你需要调用自研Web API，或需要定义专属的OAuth2权限范围（委托权限/应用权限），必须通过应用注册来声明这些权限规则，托管标识可作为客户端身份请求该应用注册的权限。
• 跨租户资源访问：当托管标识需要访问其他Azure AD租户内的资源时，通常需要在目标租户中创建对应应用注册的服务主体，或通过应用注册配置跨租户访问策略。
• 自定义令牌配置：若你的场景要求令牌包含特定声明、自定义受众（aud）、控制令牌生命周期，或需要使用非客户端凭证流的认证流程（如授权码流），只能通过应用注册来配置这些规则（托管标识的令牌属性由平台固定，无法自定义）。
• 集成非云原生服务：部分第三方服务或自建系统仅支持标准Azure AD服务主体认证，且需要配置特定的认证参数（如重定向URI、客户端ID白名单），此时需通过应用注册创建符合要求的服务主体，再结合托管标识的无密钥特性使用。
• 精细化权限管理：应用注册支持权限同意流程、客户端类型限制、凭证管理策略等精细化控制，而托管标识的配置选项有限，无法满足这类复杂管理需求。

理论依据 #

• 托管标识是受限的服务主体：平台为托管标识创建的服务主体没有对应的「应用对象」，仅具备基础的身份认证能力，无法配置自定义权限、令牌属性等高级特性。
• 应用注册是完整的身份定义载体：通过应用注册的「应用对象」可以全局定义应用的身份规则，「服务主体」则在租户内落地这些规则，覆盖托管标识无法支持的所有高级身份配置场景。

内容的提问来源于stack exchange，提问作者Akhil Sharma