Votre Key Vault de production stocke des secrets et des clés utilisés par plusieurs services. Vous devez vous assurer que la suppression accidentelle de secrets/clés peut être récupérée pendant une période définie et que personne ne peut les supprimer définitivement pendant cette période, même les propriétaires d'abonnement. Que devez-vous configurer ?

Pour répondre aux exigences de récupération après suppression accidentelle et empêcher la suppression définitive, vous devez activer la suppression réversible (soft-delete) et la protection contre la purge (purge protection). La suppression réversible permet de récupérer les secrets et les clés supprimés pendant une période de rétention configurable. La protection contre la purge, une fois activée, empêche la suppression définitive des objets supprimés tant que la période de rétention de la suppression réversible n'a pas expiré, même par les propriétaires d'abonnement ou les administrateurs ayant des privilèges élevés. L'application d'un verrou de ressource ReadOnly empêcherait toute modification ou suppression, ce qui n'est pas pratique pour un coffre-fort de clés où les secrets peuvent nécessiter des mises à jour. L'utilisation d'Azure RBAC pour refuser les autorisations de suppression n'est pas suffisante car les propriétaires d'abonnement peuvent outrepasser ces refus, et cela ne fournit pas de mécanisme de récupération.