您的生产环境Key Vault存储着多个服务使用的机密和密钥。您必须确保在指定期限内可以恢复意外删除的机密/密钥，并且在此期间，即使是订阅所有者也无法永久删除它们。您应该配置什么？

正确答案是“在保管库上启用软删除并设置适当的保留期”和“在保管库上启用清除保护，以便在保留期到期之前，已删除的对象无法被永久移除。” 软删除（Soft Delete）确保了即使机密或密钥被意外删除，它们也会在指定的保留期内保持可恢复状态，而不是立即永久消失。这满足了在指定期限内恢复的需求。 清除保护（Purge Protection）是软删除的补充功能。当清除保护启用时，即使是订阅所有者也无法在软删除保留期结束之前永久清除（即强制删除）已软删除的机密或密钥。这满足了即使是订阅所有者也无法永久删除它们的需求。 单独的ReadOnly资源锁会阻止所有对Key Vault的修改操作，包括正常的机密/密钥更新，这不符合生产环境的需求。使用Azure RBAC在订阅范围拒绝删除权限会影响所有资源，且无法阻止拥有更高权限（如订阅所有者）的用户执行删除操作，也无法提供恢复已删除项的能力。