Su Key Vault de producción almacena secretos y claves utilizados por múltiples servicios. Debe asegurarse de que la eliminación accidental de secretos/claves pueda recuperarse durante un período definido y que nadie pueda eliminarlos permanentemente durante ese período, ni siquiera los propietarios de la suscripción. ¿Qué debe configurar?

Para cumplir con los requisitos, debe habilitar tanto la eliminación suave (soft-delete) como la protección de purga (purge protection). La eliminación suave permite recuperar secretos y claves eliminados durante un período de retención configurable, evitando la pérdida accidental. La protección de purga, una vez habilitada, impide que los objetos eliminados suavemente se eliminen permanentemente antes de que expire el período de retención, incluso por parte de los propietarios de la suscripción, lo que garantiza que nadie pueda eludir el período de recuperación. Un bloqueo de recursos ReadOnly solo evitaría la eliminación, no la recuperación después de una eliminación accidental. Denegar permisos de eliminación a través de Azure RBAC no permitiría la recuperación y podría ser anulado por propietarios de suscripciones o roles con privilegios elevados.