Su organización está estandarizando la gestión de secretos en docenas de suscripciones y desea un control centralizado basado en roles utilizando grupos de Azure AD. Seguridad también exige que nadie pueda eliminar permanentemente secretos o claves, y un subconjunto de claves criptográficas debe residir en un límite de HSM dedicado y validado con FIPS 140-2 Nivel 3, separado del servicio compartido. ¿Qué debe implementar para cumplir con todos los requisitos con una sobrecarga operativa mínima?

Esta opción es correcta porque Azure Key Vault con Azure RBAC para el plano de datos permite el control centralizado basado en roles usando grupos de Azure AD. La eliminación suave y la protección contra purgas impiden la eliminación permanente de secretos. Azure Managed HSM cumple con el requisito de un límite de HSM dedicado y validado con FIPS 140-2 Nivel 3 para claves criptográficas específicas, ofreciendo el aislamiento necesario con mínima sobrecarga operativa. Las otras opciones son incorrectas porque: Mantener las políticas de acceso de Key Vault no proporciona el control centralizado basado en roles de Azure AD. Deshabilitar la eliminación suave no cumple con el requisito de impedir la eliminación permanente. Los bloqueos de recursos no reemplazan la eliminación suave y la protección contra purgas para los secretos, y depender de ARM RBAC sin habilitar RBAC para Key Vault no controla el acceso al plano de datos de los secretos. Usar las políticas de acceso clásicas de Key Vault no permite el control centralizado basado en roles de Azure AD, y la SKU Premium de Key Vault no ofrece el mismo nivel de aislamiento de HSM dedicado que Managed HSM.