用途：Azure Key Vault 用于集中安全地存储机密、密钥和证书，提供基于 RBAC 的访问控制、网络隔离、日志记录和生命周期自动化，使应用无需内嵌凭据，加密材料拥有受管生命周期。适用于管理应用机密、加密密钥（含客户托管密钥/BYOK）和 TLS 证书，也用于选择标准 Key Vault 还是 Managed HSM、设计访问模型和规划轮换。不适用于 CA 设计、仅限 Entra 应用凭据或 PaaS 网络拓扑的场景。
主要能力与选型：标准 Key Vault 适合应用机密、TLS 证书和软件保护的密钥，默认 FIPS 140-2 Level 2；Managed HSM 提供单租户 HSM 与 FIPS 140-3 Level 3 密钥，适合受监管工作负载。建议每个应用每个环境一个保管库，限制爆炸半径。
使用方式要点：数据平面使用 Azure RBAC（而非旧版访问策略），为托管标识分配最小权限角色（如 Key Vault Secrets User、Key Vault Crypto User）；应用通过系统分配或用户分配的托管标识在运行时获取机密，App Service/Functions 可用应用设置中的 Key Vault 引用（@Microsoft.KeyVault(SecretUri=...)）而无需改动 SDK 代码；启用软删除和清除保护；对敏感保管库禁用公共网络访问并使用专用终结点；设置机密/证书到期时间与轮换策略，借助事件网格与逻辑应用/函数轮换；启用诊断日志到 Log Analytics 并开启 Defender for Key Vault。
限制与防护：清除保护一旦开启不可逆；绝不在源代码或配置中存储机密；不要给应用授予 Key Vault Administrator；避免共享保管库、使用访问策略、无到期无轮换等反模式。文档还提供 Microsoft Learn 参考链接，包括 Key Vault 概述、安全功能、RBAC 指南、软删除、专用终结点、App Service 引用、Managed HSM 与 Defender for Key Vault。