使用Azure托管服务标识、AKS、AAD和密钥库时。所有这些资源都需要在同一订阅/资源组或VNET中吗?

基本上我有一个设置

• Azure中的集线器分支订阅和VNET拓扑。
• AAD用于内部用户和开发人员访问,B2C用于外部 用户。
• aad和keyvault在hub订阅/vnet中。
• 部署在Azure AKS集群中的API位于分支订阅中。
• 同时,在相同的API前面有API管理 订阅和vnet作为AKS/API,所以在spoke订阅中

根据上面的设置,我有这些问题

1. 是否所有的API、API管理、keyvault和azure ad都需要 绑定到同一订阅,或者我的集线器中可以有keyvault吗? 不同订阅中的子脚本和其他服务。
2. 我们是否在同一个aad中将每个API注册为应用程序 或者我们可以注册API管理并使用API吗? 管理层获得秘密。
3. 即使组件位于 不同的订阅,但在同一个Azure AD中注册