用途：Azure Key Vault 集中安全地存储机密、密钥与证书，提供基于 RBAC 的访问控制、网络隔离、日志记录与生命周期自动化，使应用无需内嵌凭据，加密材料也有受管生命周期。适用于管理应用机密、加密密钥（含客户管理密钥/BYOK）和 TLS 证书，并选择标准库还是托管 HSM、设计访问与规划轮换。不用于 CA 设计、仅 Entra 应用凭据或 PaaS 网络拓扑设计。
主要能力与要点：标准 Key Vault 适合应用机密、TLS 证书和软件保护密钥，默认 FIPS 140-2 二级；托管 HSM 为单租户 HSM，FIPS 140-3 三级，适合受监管工作负载与 CMK、根 CA。经验法则是一个应用每个环境一个库（dev/test/prod），限制爆炸半径；只有监管或 CMK 边界要求时才用托管 HSM。
使用方式：切换为 RBAC 权限模型而非旧式访问策略，给托管标识分配最小权限角色（如 Key Vault Secrets User、Key Vault Crypto User）。应用用系统或用户分配的托管标识在运行时读取机密；App Service/Functions 可在应用设置中使用 Key Vault 引用 @Microsoft.KeyVault(SecretUri=...) 而无需改代码。启用软删除与清除保护（清除保护开启后不可逆，CMK 和多数合规场景要求）。敏感库禁用公共网络访问，改用工作负载 VNet 中的专用终结点，其余用服务标记或选定网络做防火墙。为机密和证书设置到期，证书可用颁发者轮换策略自动续订，机密可用 Event Grid→Logic App/Function 在源头轮换并更新。启用诊断日志到 Log Analytics，并开启 Defender for Key Vault 检测异常访问。
限制与注意：勿共享库、勿给应用 Key Vault Administrator、勿把机密明文存入源码或配置、勿长期无到期无轮换、勿把应用与 CA 根密钥放同一库。具体价格、SLA 与配额本资料未提供。