Azure Key Vault是否自动清理过期证书版本且不被get key versions返回？

核心结论 #

默认情况下Azure Key Vault不会自动清除已过期的证书版本以及对应的密钥版本，你调用get key versions接口时，所有历史版本（包括已过期、已禁用的版本）都会被返回，因此按照你设定的2个月轮换周期，版本数量确实会持续累计。

可行解决方案 #

• 如果你仅需要对外提供有效的公钥，可以在拿到接口返回结果后，根据返回参数里的exp（过期时间戳）字段自行过滤掉已过期的版本，也可以结合enabled状态字段筛选你需要对外暴露的公钥版本。
• 如果要避免版本数量无限累积，你可以自行实现定期清理逻辑：比如通过定时脚本、Azure自动化账户或Azure Function，定期拉取所有密钥版本，删除超过你设定保留期限的过期版本，比如可以设置仅保留最近5个版本，或者保留过期后30天内的历史版本，避免存储冗余数据。
• 若你的Key Vault开启了软删除功能，被主动删除的版本会在软删除保留周期内（默认90天，可自定义配置）可恢复，这个阶段调用get key versions接口不会返回已删除的版本，只有专门查询已删除资源的接口才能拉取到对应记录。

内容的提问来源于stack exchange，提问作者Martijn Boeker