使用Microsoft Entra ID实现服务间认证：解决令牌缓存问题

我们正考虑使用Microsoft Entra ID实现服务间的认证与授权，所有服务均已配置托管标识，无需保护凭据这一点颇具吸引力。

然而，使用托管标识进行授权存在一项限制：

出于性能与弹性考量，托管标识令牌会由底层Azure基础设施缓存：托管标识的后端服务会按资源URI维护缓存，时长约为24小时。这意味着托管标识的组或角色成员身份变更可能需要数小时才能生效。目前无法强制托管标识令牌在过期前刷新。因此，若修改托管标识的组或角色成员身份以增减权限，使用该标识的Azure资源可能需要等待数小时才能获得正确的访问权限。

当然存在一些变通方案，例如让每个服务定期通过Graph API直接获取角色分配（变更会立即显示），但这类方案会增加系统复杂度与安全风险。

请问正在使用Microsoft Entra ID托管标识进行服务间认证的从业者，你们是如何处理令牌缓存问题的？

从业者实际处理方案 #

1. 规划低峰期权限变更 #

我们团队会把权限变更安排在业务低峰时段，比如凌晨或周末。这样即使缓存延迟生效，对核心业务的影响也能降到最低，同时提前同步给相关团队，让大家明确变更的生效时间范围。

2. 拆分细粒度托管标识 #

不会给单个托管标识堆太多权限，而是按服务的具体职责创建多个专用标识。比如一个服务要访问两个独立资源，就用两个托管标识分别对应。这样某个权限变更只影响小范围服务，不用等大标识的缓存刷新，也缩小了变更的影响面。

3. 用短期权限替代长期变更 #

对于临时权限需求，我们不会直接修改托管标识的角色或组，而是用Entra ID的临时访问通行证，或者设置过期时间的短期角色分配。这类变更不依赖托管标识的令牌缓存，能快速生效，到期后自动失效，避免了长期变更带来的缓存等待问题。

4. 接受缓存延迟，规范变更流程 #

非紧急的权限变更，我们直接接受24小时的缓存延迟，同时建立严格的变更流程：所有变更必须提交申请，记录变更内容和预计生效时间，相关团队在变更后的24小时内确认权限是否正常生效。不用额外开发复杂方案，也能保证业务稳定。

5. 关键服务用双标识切换 #

对权限变更实时性要求极高的核心服务，我们采用“双标识切换”方案：给服务配置两个托管标识，平时用A标识；需要变更权限时，先把权限分配给B标识，然后切换服务使用B标识，等A标识缓存过期后再清理旧权限。不用修改服务的权限获取逻辑，就能快速完成权限变更。

内容的提问来源于stack exchange，提问作者twoflower