Azure多环境（Dev/Test/Prod）下Key Vault部署最佳实践咨询

• 环境隔离优先，筑牢安全边界：Dev、Test、Prod的密钥敏感度天差地别，Prod的数据库密码、API密钥都是核心资产，单独建Vault能彻底避免Dev环境里的测试操作（比如调试时误删密钥）影响到Prod。而且不同环境的Vault可以单独配置权限——Dev团队只碰Dev的Vault，Prod的Vault只开放给运维或专门的部署账号，最小权限原则落实起来更简单。
• 生命周期管理互不干扰：每个环境的密钥生命周期完全不一样：Dev的密钥可能每周都要换、废弃，Prod的密钥得严格按合规要求几个月换一次，还得留审计痕迹。单独建Vault的话，你可以给Dev配置自动轮换策略，给Prod设手动审批+全量审计日志，两边的管理逻辑完全独立，不会互相掣肘。
• 合规审计更省心：很多行业要求Prod资产必须和非生产环境做逻辑隔离，单个Vault根本满足不了这种要求。而且分开后，Prod的审计日志是独立的，排查Prod密钥的异常访问时，不用在一堆Dev的测试日志里翻找，审计起来效率高，也更容易通过合规检查。
• 避免命名混乱和误操作：用单个Vault的话，所有环境的密钥得靠命名区分（比如prod-db-pass、dev-db-pass），团队规模大了很容易出现命名错误，或者误改、误删其他环境的密钥，风险太高。

当然，如果你的项目特别小，团队就两三个人，而且所有环境的密钥都是无关紧要的测试用密钥，那单个Vault也能凑合用，但这种情况极少，不推荐作为常规方案。

内容的提问来源于stack exchange，提问作者Joakim Torsvik