Seu Key Vault de produção armazena segredos e chaves usados por vários serviços. Você deve garantir que a exclusão acidental de segredos/chaves possa ser recuperada por um período definido e que ninguém possa excluí-los permanentemente durante esse período, nem mesmo os proprietários da assinatura. O que você deve configurar?

Para garantir a recuperação de segredos/chaves excluídos acidentalmente e impedir a exclusão permanente por um período, você deve habilitar o soft-delete no Key Vault e definir um período de retenção adequado. Isso move os objetos excluídos para um estado de "excluído suavemente" por um tempo configurável, permitindo a recuperação. Adicionalmente, para impedir que até mesmo os proprietários da assinatura excluam permanentemente esses objetos antes que o período de retenção expire, você deve habilitar a proteção contra purga. Essa combinação garante que os objetos excluídos suavemente não possam ser purgados (excluídos permanentemente) até que o período de retenção do soft-delete termine. Aplicar um bloqueio ReadOnly impediria todas as exclusões, o que não atende ao requisito de permitir a exclusão acidental e posterior recuperação. Usar o Azure RBAC para negar permissões de exclusão não impede que proprietários da assinatura ou outros com privilégios elevados ignorem essas negações ou purguem itens excluídos suavemente.