Key Vault Administrator + Key Vault Data Access Administrator

Key Vault Administrator controla a configuração e as políticas de acesso do cofre; Key Vault Data Access Administrator concede/revoga RBAC de dados (segredos, chaves, certificados) sem necessariamente poder ler o conteúdo. Combinadas na mesma identidade, essa distinção de segregação desaparece — a mesma pessoa configura o cofre, concede a si mesma acesso aos dados via RBAC e passa a poder ler segredos/chaves diretamente.

Uma identidade comprometida ou mal-intencionada com ambas as roles pode se auto-conceder Key Vault Secrets User/Officer e extrair credenciais, chaves de criptografia ou certificados armazenados no cofre, sem qualquer segunda aprovação.

• Nunca atribuir as duas roles à mesma identidade — separar quem administra o cofre de quem concede acesso a dados.
• Exigir aprovação via PIM para qualquer atribuição de Key Vault Data Access Administrator.
• Auditar logs do Key Vault para atribuições de acesso a dados feitas fora de um fluxo de change management aprovado.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles
• https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide