Ihr DevOps-Team stellt Azure Virtual Desktop Host-Pools und Session-Hosts über Bicep bereit. Anmeldeinformationen für den Domain-Beitritt und ein SSL-Zertifikat für die Reverse-Verbindung müssen zum Zeitpunkt der Bereitstellung bereitgestellt werden, ohne Geheimnisse im Quellcode oder in Parameterdateien abzulegen. Auditoren verlangen, dass Geheimnisse wiederherstellbar sind, wenn sie versehentlich gelöscht werden. Welche zwei Aktionen sollten Sie durchführen? Jede korrekte Antwort stellt einen Teil der Lösung dar.

Die Speicherung von Anmeldeinformationen und Zertifikaten in Azure Key Vault mit aktivierter Soft-Delete- und Purge-Protection erfüllt die Anforderungen an die Sicherheit und Wiederherstellbarkeit. Soft-Delete ermöglicht die Wiederherstellung versehentlich gelöschter Geheimnisse, während Purge-Protection das endgültige Löschen verhindert. Die Zuweisung einer benutzerseitig zugewiesenen verwalteten Identität zur Bereitstellung und die Erteilung von get- und list-Berechtigungen für den Key Vault ermöglicht den sicheren Zugriff auf die Geheimnisse während der Bereitstellung, ohne diese im Code offenzulegen. Die Referenzierung mittels der ARM/Bicep listSecret-Funktion stellt sicher, dass die Geheimnisse zur Laufzeit abgerufen werden. Das Ablegen von Geheimnissen in Azure DevOps-Variablengruppen oder das Einbetten in Bicep-Dateien ist weniger sicher, da diese potenziell im Quellcode oder in Logs sichtbar sein könnten. Die Verwendung eines Automation Accounts nach der Bereitstellung ist für die initiale Bereitstellung von Host-Pools und Session-Hosts nicht der direkte Weg, um Domain-Join-Anmeldeinformationen und SSL-Zertifikate bereitzustellen.