Ihre Organisation standardisiert die Geheimnisverwaltung über Dutzende von Abonnements hinweg und möchte eine zentralisierte, rollenbasierte Kontrolle mithilfe von Azure AD-Gruppen. Die Sicherheit schreibt außerdem vor, dass niemand Geheimnisse oder Schlüssel dauerhaft löschen kann und dass eine Untergruppe kryptografischer Schlüssel in einer dedizierten, FIPS 140-2 Level 3 validierten HSM-Grenze getrennt vom gemeinsam genutzten Dienst liegen muss. Was sollten Sie implementieren, um alle Anforderungen mit minimalem Betriebsaufwand zu erfüllen?

Diese Option erfüllt alle Anforderungen: Azure RBAC für die Datenebene bietet zentralisierte, rollenbasierte Kontrolle über Azure AD-Gruppen. Soft Delete und Purge Protection verhindern das dauerhafte Löschen von Geheimnissen und Schlüsseln. Azure Managed HSM bietet eine dedizierte, FIPS 140-2 Level 3 validierte HSM-Grenze für die erforderlichen kryptografischen Schlüssel. Die Beibehaltung von Key Vault-Zugriffsrichtlinien und das Speichern aller Schlüssel im Standard Key Vault erfüllen nicht die Anforderungen für zentrale RBAC-Kontrolle oder dedizierte HSM-Isolation. Die Deaktivierung von Soft Delete verstößt gegen die Sicherheitsanforderung zum Schutz vor dauerhaftem Löschen. Die Verwendung von Ressourcensperren ist kein Ersatz für Soft Delete und Purge Protection, und das Verlassen auf ARM RBAC für den Datenzugriff ist nicht die empfohlene Methode für Key Vault. Klassische Zugriffsrichtlinien bieten keine zentrale RBAC-Kontrolle, und die Premium Key Vault SKU bietet keine dedizierte HSM-Isolation wie Managed HSM.