Azure Key Vault ist der von Microsoft Azure betriebene, cloudbasierte Schlüssel- und Secret-Management-Dienst. Er speichert kryptografische Schlüssel, Secrets (z. B. Verbindungszeichenfolgen und API-Tokens) und X.509-Zertifikate in einem Hardware Security Module (HSM)-gestützten Speicher und stellt sie über eine REST-API, mehrere SDKs (für .NET, Java, Python, JavaScript) und das Azure CLI bereit. Verfügbar sind zwei Service-Tiers: Standard mit softwaregestützten Schlüsseln und Premium mit FIPS 140-2 Level 2-validierten HSMs. Für besonders strenge Anforderungen existiert zusätzlich Azure Key Vault Managed HSM mit dediziertem, FIPS 140-2 Level 3-validiertem HSM-Pool.
Eingesetzt wird Key Vault als zentrale Ablage für Secrets in Anwendungen, für TLS-Zertifikate (mit automatischer Erneuerung über Integration mit DigiCert oder GlobalSign), für Verschlüsselungsschlüssel (z. B. für Customer-Managed Keys in Azure Storage, SQL Database oder Disk Encryption) und für Signierschlüssel (Code Signing, Token Signing). Anwendungen authentifizieren sich typischerweise über eine Managed Identity gegen Entra ID und greifen auf Key Vault über die Berechtigungsmodelle ‚Vault Access Policies' (älter) oder ‚Azure RBAC' (neuere Empfehlung) zu.
Klassische Probleme — Secrets in Konfigurationsdateien, in Source-Repositories oder in Klartext in Datenbanken — werden durch externe Verwahrung mit Audit-Log, Versionierung, Soft-Delete und Purge-Protection adressiert. Über Eventgrid-Integration kann Key Vault Hooks bei Zertifikatsablauf oder Schlüsselrotation auslösen, was eine automatisierte Rotation in Pipelines und Anwendungen ermöglicht. Im Zusammenspiel mit dem Secrets Store CSI Driver lassen sich Secrets in Kubernetes-Pods bereitstellen, ohne sie in Kubernetes-Secret-Objekten zu speichern.
Historisch wurde Azure Key Vault im Januar 2015 allgemein verfügbar gemacht, ursprünglich als reiner Schlüsselspeicher mit HSM-Anbindung; die Unterstützung für Secrets und Zertifikate folgte in den Jahren danach.
Ein häufiges Anti-Pattern ist es, Anwendungen die Master-Keys direkt aus Key Vault lesen zu lassen und diese dann zur Datenverschlüsselung zu verwenden. Best Practice — und so vom Key-Vault-Team explizit empfohlen — ist stattdessen das ‚Wrap/Unwrap'-Modell: Symmetrische Datenschlüssel werden lokal generiert, von Key Vault verschlüsselt (gewrapped), gemeinsam mit den Daten gespeichert und nur bei Bedarf wieder entpackt. Damit verlassen die kryptografischen Master-Schlüssel das HSM nie, was eine echte Trennung zwischen Daten- und Schlüsselzugriff garantiert.