是否可以将Azure Key Vault的所有权转让给客户？

Azure本身不支持直接将Key Vault从一个Azure AD租户（你司所属租户）迁移/转让到其他租户（客户所属租户），但有成熟的手动流程可以满足客户接管所有机密的需求，等效完成资产交接，具体可选择以下两种方案：

• 机密导出交付（优先推荐，操作成本最低）
  • 客户确认注销前，你方可导出该客户专属的所有密钥、机密、证书，对称密钥、私钥、机密字符串均可导出为PFX、PEM、JSON等通用标准格式，如果你方为客户创建密钥时勾选了「不可导出」属性，建议提前在生成密钥时同步留存可导出版本备用
  • 导出后的机密文件通过加密通道交付给客户后，客户只需在自有租户内新建Key Vault，导入所有机密即可正常使用，全流程最快可在1小时内完成
• 原实例转让（适合客户要求接管原有Key Vault的场景）
  • 你需提前为每个客户分配独立的专属Key Vault，且该Key Vault需要放在单独的Azure订阅中，不要和其他客户的资源混用
  • 双方配合完成Azure订阅的跨租户转让流程，提交双方的身份验证材料后即可把订阅迁移到客户的Azure AD租户下，迁移完成后移除你方账号对该订阅、Key Vault的所有访问权限，客户即可获得该Key Vault的完整所有权

提示：建议在服务协议中提前明确注销时的机密交付流程、时效、格式，无需承诺必须转让原Key Vault实例，交付标准格式的导出机密对客户的适配性更高，也能降低你方的操作风险和合规风险。

内容的提问来源于stack exchange，提问作者Mark Wright