Je productie Key Vault slaat geheimen en sleutels op die door meerdere services worden gebruikt. Je moet ervoor zorgen dat onbedoelde verwijdering van geheimen/sleutels gedurende een bepaalde periode kan worden hersteld en dat niemand ze gedurende die periode permanent kan verwijderen, zelfs abonnementsbezitters niet. Wat moet je configureren?

Om te garanderen dat onbedoelde verwijdering kan worden hersteld en dat niemand geheimen/sleutels permanent kan verwijderen, zelfs abonnementsbezitters niet, moet je soft-delete en purge protection inschakelen. Soft-delete zorgt ervoor dat verwijderde objecten gedurende een configureerbare retentieperiode in een 'soft-deleted' staat blijven, waardoor ze kunnen worden hersteld. Purge protection voorkomt dat deze soft-deleted objecten permanent worden verwijderd (gepurged) voordat de retentieperiode is verstreken, zelfs door gebruikers met purge-rechten of abonnementsbezitters. Dit biedt een extra beveiligingslaag tegen onherstelbare gegevensverlies. Een ReadOnly resource lock voorkomt weliswaar verwijdering, maar staat ook geen wijzigingen toe, wat onpraktisch is voor een Key Vault. Azure RBAC kan Delete-machtigingen weigeren, maar abonnementsbezitters kunnen deze machtigingen altijd weer toekennen of de Key Vault zelf verwijderen, wat de bescherming omzeilt.