Ваша организация стандартизирует управление секретами в десятках подписок и хочет централизованного управления на основе ролей с использованием групп Azure AD. Служба безопасности также требует, чтобы никто не мог безвозвратно удалять секреты или ключи, а подмножество криптографических ключей должно находиться в выделенной границе HSM, проверенной на соответствие FIPS 140-2 Level 3, отдельно от общего сервиса. Что следует реализовать для выполнения всех требований с минимальными эксплуатационными издержками?

Правильный ответ соответствует всем требованиям. Azure RBAC для плоскости данных Key Vault обеспечивает централизованное управление доступом на основе ролей с использованием групп Azure AD. Обратимое удаление и защита от очистки предотвращают безвозвратное удаление секретов. Azure Managed HSM предоставляет выделенную границу HSM, проверенную на соответствие FIPS 140-2 Level 3, для криптографических ключей, требующих повышенной изоляции. Неправильные варианты: Сохранение политик доступа Key Vault не обеспечивает централизованное управление Azure RBAC. Отсутствие защиты от очистки позволяет безвозвратно удалять секреты. Хранение всех ключей в стандартном Key Vault не удовлетворяет требованию FIPS 140-2 Level 3. Отключение обратимого удаления нарушает требование предотвращения безвозвратного удаления. Использование Managed HSM для всех секретов и сертификатов избыточно и не соответствует требованию минимальных эксплуатационных издержек. Блокировки ресурсов не заменяют защиту от очистки. Использование ARM RBAC без включения RBAC для Key Vault не обеспечивает управление доступом к плоскости данных Key Vault. Классические политики доступа Key Vault не обеспечивают централизованное управление Azure RBAC. SKU Premium Key Vault не соответствует требованию выделенной границы HSM, проверенной на соответствие FIPS 140-2 Level 3.