Uw organisatie standaardiseert het beheer van geheimen (secrets) over tientallen abonnementen en wil gecentraliseerde, op rollen gebaseerde controle met behulp van Azure AD-groepen. Beveiliging schrijft ook voor dat niemand geheimen of sleutels permanent kan verwijderen, en een subset van cryptografische sleutels moet zich bevinden in een speciale, FIPS 140-2 Level 3 gevalideerde HSM-grens, gescheiden van de gedeelde service. Wat moet u implementeren om aan alle vereisten te voldoen met minimale operationele overhead?

De correcte optie voldoet aan alle vereisten. Azure Key Vault met Azure RBAC voor data-plane autorisatie biedt gecentraliseerde, op rollen gebaseerde controle via Azure AD-groepen. Soft delete en purge protection voorkomen permanent verwijderen, zelfs door beheerders. Azure Managed HSM biedt FIPS 140-2 Level 3 gevalideerde HSM-isolatie voor kritieke sleutels, gescheiden van de gedeelde service, met minimale operationele overhead. De andere opties zijn onjuist: Het behouden van Key Vault-toegangsbeleid biedt geen gecentraliseerde RBAC met Azure AD-groepen. Alleen soft delete inschakelen voldoet niet aan de vereiste voor purge protection. Standaard Key Vault voldoet niet aan de HSM-isolatie-eis. Azure RBAC gebruiken en soft delete uitschakelen voldoet niet aan de vereiste om permanent verwijderen te voorkomen. Managed HSM voor alle geheimen en certificaten is onnodig en duur. Resource locks zijn geen vervanging voor soft delete en purge protection voor geheimen. Vertrouwen op ARM RBAC zonder Key Vault RBAC in te schakelen, biedt geen data-plane toegang voor Key Vault. Klassiek toegangsbeleid biedt geen gecentraliseerde RBAC met Azure AD-groepen. De Premium Key Vault SKU biedt geen dedicated HSM-isolatie zoals Managed HSM.