Oi Pedro, obrigado pela excelente explicação.

A autenticação via SAS, por não gerar acoplamento com o Entra ID da Azure, deixaria a solução final mais portável para uma eventual migração de CSP. Você considera que esse ponto faz sentido/é relevante? Gostaria de ler um comentário seu a respeito.