Ваше рабочее хранилище Key Vault хранит секреты и ключи, используемые несколькими службами. Вы должны убедиться, что случайное удаление секретов/ключей может быть восстановлено в течение определенного периода и что никто не сможет окончательно удалить их в течение этого периода, даже владельцы подписки. Что вы должны настроить?

Для обеспечения возможности восстановления случайно удаленных секретов/ключей и предотвращения их окончательного удаления в течение определенного периода необходимо включить две функции Azure Key Vault. Включение обратимого удаления (soft-delete) гарантирует, что удаленные объекты немедленно не уничтожаются, а остаются в состоянии обратимого удаления в течение заданного срока хранения, что позволяет их восстановить. Включение защиты от очистки (purge protection) предотвращает окончательное удаление (очистку) объектов даже после истечения срока хранения обратимого удаления, пока не пройдет дополнительный период или пока защита не будет явно отключена. Это обеспечивает дополнительный уровень безопасности от злонамеренного или случайного окончательного удаления, даже для владельцев подписки. Применение блокировки ресурсов ReadOnly предотвратит изменение или удаление самого хранилища, но не секретов и ключей внутри него. Использование Azure RBAC для запрета разрешений на удаление не помешает окончательному удалению после истечения срока обратимого удаления, если защита от очистки не включена, и не сможет полностью предотвратить действия владельцев подписки без дополнительных мер.