Twój zespół DevOps wdraża pule hostów Azure Virtual Desktop i hosty sesji za pomocą Bicep. Poświadczenia dołączania do domeny i certyfikat SSL dla połączenia zwrotnego muszą być dostarczone w czasie wdrażania bez umieszczania sekretów w kodzie źródłowym lub plikach parametrów. Audytorzy wymagają, aby sekrety były możliwe do odzyskania w przypadku przypadkowego usunięcia. Jakie dwie czynności należy wykonać? Każda poprawna odpowiedź stanowi część rozwiązania.

Przechowywanie poświadczeń i certyfikatu w Azure Key Vault z włączonymi funkcjami soft-delete i purge protection jest najlepszym rozwiązaniem. Soft-delete pozwala na odzyskanie przypadkowo usuniętych sekretów, a purge protection zapobiega ich trwałemu usunięciu przez określony czas, spełniając wymagania audytorów. Przypisanie tożsamości zarządzanej przypisanej przez użytkownika do wdrożenia i nadanie jej uprawnień get i list do Key Vault, a następnie odwoływanie się do sekretów za pomocą funkcji ARM/Bicep listSecret, zapewnia bezpieczny i automatyczny dostęp do sekretów podczas wdrażania bez umieszczania ich w kodzie źródłowym. Pozostałe opcje są mniej bezpieczne lub nie spełniają wszystkich wymagań: umieszczanie sekretów w zmiennych Azure DevOps jako secureString nadal wymaga ich przekazania, osadzanie certyfikatu w pliku Bicep jest niezgodne z zasadą nieumieszczania sekretów w kodzie, a użycie konta Automation Account jest bardziej złożone i nie jest standardowym sposobem dostarczania sekretów podczas wdrażania Bicep.