Sua organização está padronizando o gerenciamento de segredos em dezenas de assinaturas e deseja um controle centralizado baseado em função usando grupos do Azure AD. A segurança também exige que ninguém possa excluir permanentemente segredos ou chaves, e um subconjunto de chaves criptográficas deve residir em um limite de HSM validado FIPS 140-2 Nível 3 dedicado, separado do serviço compartilhado. O que você deve implementar para atender a todos os requisitos com o mínimo de sobrecarga operacional?

A opção correta atende a todos os requisitos: o Azure RBAC para o plano de dados centraliza o controle de acesso com grupos do Azure AD. A exclusão suave e a proteção contra purga impedem a exclusão permanente de segredos. O Azure Managed HSM fornece um limite de HSM dedicado FIPS 140-2 Nível 3 para chaves específicas, isolando-as do serviço compartilhado com sobrecarga mínima. As outras opções falham em um ou mais requisitos: Manter políticas de acesso do Key Vault não permite controle centralizado baseado em função com grupos do Azure AD. Desabilitar a exclusão suave não atende ao requisito de proteção contra exclusão permanente. Usar o Managed HSM para todos os segredos pode ser um exagero e mais caro do que o necessário. Bloqueios de recurso não substituem a exclusão suave e a proteção contra purga para segredos, e confiar apenas no ARM RBAC não fornece controle de plano de dados para o Key Vault. Usar políticas de acesso clássicas do Key Vault não permite o controle centralizado baseado em função via Azure RBAC. O SKU Premium do Key Vault não oferece o mesmo nível de isolamento de HSM dedicado que o Managed HSM.