所有者権限があるのにKey Vault Secretを作成できなかった件について調査してみました

背景

所有者権限を持っているから、データプレーンの操作がすべてできると考えていました。しかし、Key Vault Secretの作成ができませんでした。

シークレット画面には下記エラーメッセージが表示されます。

この操作は RBAC で許可されていません。ロールの割り当てが最近変更された場合は、ロールの割り当てが有効になるまで数分お待ちください。

調査結果

ドキュメントによると、キーコンテナー上でのシークレットを作成するには、キーコンテナー管理者（Key Vault Administrator / Key Vaultの強い権限）やキーコンテナーシークレット責任者（Key Vault Secrets Officer/キーコンテナー管理者より限定的な権限）のロールが必要です。
所有者ロールではシークレットを作成することはできません。

感想

Key Vaultに関しては、所有者権限でもデータプレーン操作ができないという仕様については理解しましたが、Key Vaultだけデータプレーン操作ができない理由が気になりました（Blobの場合、所有者/共同作成者ロールでのデータプレーン操作が可能なため）。
推測となりますが、Key Vaultは機密情報を扱うため、より厳格なアクセス制御が求められるからではないでしょうか。