您的 DevOps 團隊透過 Bicep 部署 Azure Virtual Desktop 主機集區和工作階段主機。在部署時必須提供網域加入憑證和用於反向連線的 SSL 憑證，且不能將密碼放在原始碼或參數檔案中。稽核員要求如果密碼不小心被刪除，必須能夠復原。您應該採取哪兩項行動？每個正確答案都代表解決方案的一部分。

將憑證和密碼儲存在啟用虛刪除和清除保護的 Azure Key Vault 中，可確保即使意外刪除，也能在保留期內復原，滿足稽核要求。這也提供了安全的集中式儲存，避免將敏感資訊直接嵌入程式碼或參數檔案。 將使用者指派的受控識別指派給部署，並授予其對 Key Vault 的「取得」和「列出」權限，允許部署安全地存取 Key Vault 中的憑證和密碼，而無需在程式碼中硬編碼憑證。使用 ARM/Bicep 的 listSecret 函數可以動態地從 Key Vault 檢索這些值。 將密碼放在 Azure DevOps 變數群組中或將憑證嵌入 Bicep 檔案中，都無法滿足不能將密碼放在原始碼或參數檔案中的要求，且不提供復原機制。將密碼儲存在 Automation Account 憑證資產中，雖然安全，但通常用於 Runbook 執行，而非 Bicep 部署期間的直接憑證檢索。