Azure Key Vault Java 密钥管理
帮助 Java 开发者安全存储、读取、轮换和恢复 Azure Key Vault 中的应用机密。
内容明确涉及 Azure Key Vault 敏感信息，并展示 DefaultAzureCredential、最小权限、软删除、日志和环境变量等安全实践，因此具备部分安全边界；但示例直接打印 secret value、把真实密钥样式值写入代码、批量读取并输出秘密，且 purge、delete、backup 写文件等高影响操作没有用户确认、权限范围、备份保护或回滚说明，扣分较多。
主文档覆盖同步、异步、错误处理和恢复流程，且提供了 references/examples.md；但版本号从 4.9.0 与 4.11.0-beta.1 不一致，若干示例缺少 import，轮询和异步 API 的可用性未由该技能内测试验证，异常输入、重试、幂等性和失败诊断较薄弱。静态校准下未超过 10 分。
目标场景和触发短语清晰，覆盖存取、轮换、删除、恢复、备份及异步 Java SDK 用法；但未明确不适用场景、所需 Azure 资源/RBAC 配置、网络与区域限制，也没有中文说明或面向中国大陆可达性的适配信息，因此语义边界和环境适配证据有限。
具备 front matter、MIT 许可、版本字段、安装说明、分节示例、环境变量、最佳实践、错误处理和单独参考文件，结构较易导航；但维护责任、变更记录、SDK/identity 版本兼容矩阵、故障排查和敏感数据安全示例规范不完整，且主文档与参考文档版本漂移。
对于熟悉 Azure 身份认证且已有 Key Vault 的 Java 开发者，代码覆盖主要 CRUD、版本、轮换、恢复和备份任务，核心价值明确；但示例存在可编译性和版本一致性疑点，安全上不宜直接复制，缺少完整项目配置、RBAC 前置条件和可验证输出。静态校准下核心任务可 plausibly 完成，但仍需较多审查，未超过 7 分。
代码、依赖坐标、错误类型和操作模式均可审计，且仓库提供通用 CI/测试基础设施；但所给 CI 与测试并未针对该 Key Vault Java 技能的关键路径提供专门覆盖，也没有该技能的执行结果、第三方交叉验证或版本变更记录。静态校准下只能给有限证据分。
- 不要直接复制示例中的真实样式秘密或打印 secret value；应使用占位符、避免日志泄露，并限制读取权限。
- purgeDeletedSecret 是不可恢复操作，执行前应明确用户确认、权限边界和恢复策略。
- 统一 azure-security-keyvault-secrets 与 azure-identity 版本，并在目标 Java/Maven 环境中编译验证所有示例。
- 补充 Key Vault、RBAC、软删除、网络访问、轮换失败和备份加密等前置条件与故障处理说明。
它能做什么 & 适用场景
该技能面向使用 Azure Key Vault Secrets Java SDK 管理敏感配置的开发者。它覆盖密码、API 密钥、连接字符串等字符串机密的创建、读取、属性更新、列举、删除、恢复、永久清除以及备份恢复。内容同时提供同步和异步客户端示例，并展示 DefaultAzureCredential 与托管身份凭据的创建方式。它适合已经使用 Azure Key Vault 的 Java 项目，但不会替代权限配置、网络配置或完整的生产运维方案。
指导代理添加 Maven 依赖 com.azure:azure-security-keyvault-secrets:4.9.0，创建同步或异步 SecretClient，使用 Azure 凭据连接指定 Key Vault，设置和读取最新或指定版本的机密，更新启用状态、过期时间、标签和内容类型等属性，列举机密及其版本，执行软删除、恢复和永久清除，并使用字节数组完成机密备份与恢复。它还给出批量加载机密、版本轮换和 ResourceNotFoundException、HttpResponseException 错误处理示例。
- 负责 Java 后端配置的开发者需要将数据库密码、API 密钥或连接字符串从代码和配置文件迁移到 Azure Key Vault。
- 维护生产凭据的团队需要创建新版本、禁用旧版本并实现基本的机密轮换流程。
- 需要审查或展示 Key Vault 机密元数据的开发者希望列出机密、版本、启用状态和时间戳，而不直接列出值。
- 需要处理误删风险的运维或应用团队希望使用软删除、恢复和永久清除 API 管理机密生命周期。
- 需要保存或迁移机密全部版本的 Java 应用需要使用 Key Vault 的备份和恢复操作。
优缺点一览
- 覆盖机密的完整生命周期，包括创建、读取、属性更新、版本管理、删除、恢复、清除和备份恢复。
- 同时提供同步和异步 Java 客户端用法。
- 包含过期时间、标签、内容类型、软删除、最小权限和访问日志等具体实践建议。
- 提供批量加载、轮换和常见 HTTP 错误处理模式。
- 示例依赖已存在且可访问的 Azure Key Vault；未提供资源创建、权限授予或网络隔离步骤。
- 备份示例会将机密备份写入本地文件，文件保护责任由应用自行承担。
- README 的测试覆盖统计针对整个仓库，源材料没有证明该单个技能拥有独立测试场景。
- 示例包含演示用的密码和密钥格式，不能直接当作生产凭据。
如何安装
运行 npx skills add microsoft/skills，在安装向导中选择 azure-security-keyvault-secrets-java。README 说明技能会安装到所选代理的目录，例如 GitHub Copilot 使用 .github/skills/，并可在多个代理之间建立符号链接。源材料未说明该单个技能的独立安装命令或所需 Azure 资源权限配置。
如何使用
在已加载该技能的编码代理中提出诸如“用 Java Key Vault Secrets SDK 存储 API key”“读取 Azure Key Vault 中的 connection string”或“实现 secret rotation”之类的请求。代码需要提供 Key Vault 地址，例如 https://<vault-name>.vault.azure.net，并配置 AZURE_KEYVAULT_URL；使用生产环境的 DefaultAzureCredential 时，还需按示例配置 AZURE_TOKEN_CREDENTIALS=prod 或指定凭据。