Azure用户托管身份ID是否需作为机密信息保管？

首先明确结论：用户托管身份的ID（不管是principal_id还是client_id）本身不属于敏感信息，不需要强制作为机密存储。

原因很简单：

• 托管身份的本质是Azure AD里的一个身份标识，它没有可泄露的密钥、密码或证书——所有身份验证都是Azure内部自动完成的，外部人员就算拿到这个ID，也没法直接冒用这个身份执行任何操作。
• 对比你提到的服务主体：服务主体需要依赖客户端密钥/证书这类凭证才能调用API，而托管身份的权限仅在绑定的Azure资源（比如你的App Service）内部生效，脱离了这个可信环境，ID毫无用处。
• 你的场景里这个身份只有AcrPull权限，就算ID被公开，攻击者也没法用它做拉取镜像之外的事，而且前提是他们还得控制你的App Service或者拥有其他合法的Azure访问权限才行，门槛极高。

至于Terraform配置的建议：

• 完全可以继续明文保留这个ID，不会有直接的安全风险。如果团队有统一的机密管理规范（比如要求所有身份相关标识都存Key Vault），那存进去也没问题，但这更多是合规流程要求，而非安全刚需。
• 真正需要注意的是你的Terraform状态文件：如果.tfstate被公开存储，哪怕是非敏感的ID也可能暴露你的资源结构，建议把状态文件放在私有存储（比如启用私有访问的Azure Blob Storage），这才是更关键的安全措施。

内容的提问来源于stack exchange，提问作者Kevvv