选择合适的授权模型

贵公司正在迁移到 Azure，需要保护存储在 Azure Key Vault 中的机密。安全团队提出了以下要求：

• 在多个 Azure 资源之间实现集中式访问控制
• 与 Azure Active Directory (Azure AD) 集成
• 支持多重身份验证 (MFA) 和条件性访问 (Conditional Access)
• 能在订阅和资源组级别分配角色
• 避免依赖传统或资源特定的访问方式

哪种授权方法最能满足这些要求？