Чтобы использовать ключ запроса для отправки запросов в Azure Search непосредственно из клиентского Javascript, ключ запроса должен быть открыт клиенту.С точки зрения безопасности вы не должны доверять клиенту и поэтому должны предполагать, что вы публично раскрываете ключ запроса.Если вы не возражаете против того, чтобы содержимое вашего индекса стало общедоступным, тогда это нормально, но в противном случае лучше, чтобы ваш клиентский код вызывал промежуточный серверный API, который проверяет подлинность клиента перед вызовом Azure Search с соответствующим ключом API..
Что касается защиты от атак DOS, в Azure Search нет ничего конкретного. Надеюсь, это поможет.