Twój produkcyjny Key Vault przechowuje sekrety i klucze używane przez wiele usług. Musisz upewnić się, że przypadkowe usunięcie sekretów/kluczy może zostać odzyskane przez określony czas i że nikt nie może ich trwale usunąć w tym okresie, nawet właściciele subskrypcji. Co należy skonfigurować?

Aby zapobiec trwałemu usunięciu sekretów i kluczy, nawet przez właścicieli subskrypcji, należy włączyć dwie kluczowe funkcje Azure Key Vault: soft-delete i purge protection. Włączenie soft-delete (usuwania nietrwałego) pozwala na odzyskanie usuniętych obiektów przez określony czas, chroniąc przed przypadkowym usunięciem. Ustawienie odpowiedniego okresu przechowywania określa, jak długo obiekty będą dostępne do odzyskania. Purge protection (ochrona przed przeczyszczeniem) idzie o krok dalej, uniemożliwiając trwałe usunięcie (przeczyszczenie) obiektów przez kogokolwiek, włącznie z właścicielami subskrypcji, dopóki nie minie okres przechowywania soft-delete. Blokada zasobów ReadOnly uniemożliwiłaby modyfikację i usuwanie, ale nie pozwala na odzyskiwanie po przypadkowym usunięciu. Użycie Azure RBAC do odmowy uprawnień Delete nie jest wystarczające, ponieważ właściciele subskrypcji mogą obejść te uprawnienia.