Procedimientos recomendados para proteger HSM administrado

  • Artículo

En este artículo se proporcionan procedimientos recomendados para proteger el sistema de administración de claves Azure Key Vault Managed HSM. Para obtener una lista completa de las recomendaciones de seguridad, consulte la línea base de seguridad de HSM administrado de Azure.

Controle el acceso a su HSM administrado.

Managed HSM es un servicio en la nube que protege las claves criptográficas. Como estas claves son confidenciales y críticas para la empresa, asegúrese de proteger el acceso a los HSM administrados de modo que solo se admitan las aplicaciones y los usuarios autorizados. El control de acceso de HSM administrado proporciona información general sobre el modelo de acceso. Explica la autenticación, la autorización y el control de acceso basado en roles (RBAC).

Para controlar el acceso al HSM administrado:

  • Cree un grupo de seguridad Microsoft Entra para los administradores del HSM (en lugar de asignar el rol de administrador a individuos) para evitar el "bloqueo de la administración" si se elimina una cuenta individual.
  • Bloquee el acceso a los grupos de administración, las suscripciones, los grupos de recursos y los HSM administrados. Use el control de acceso basado en rol de Azure (RBAC de Azure) para controlar el acceso a los grupos de administración, las suscripciones y los grupos de recursos.
  • Cree asignaciones de roles por clave mediante RBAC local de HSM administrado.
  • Para mantener la separación de tareas, evite asignar varios roles a las mismas entidades de seguridad.
  • Use el principio de acceso con privilegios mínimos para asignar roles.
  • Cree una definición de roles personalizada mediante un conjunto preciso de permisos.

Creación de copias de seguridad

  • Asegúrese de crear copias de seguridad periódicas del HSM administrado.

    Las copias de seguridad se pueden crear en el nivel de HSM y para claves específicas.

Active el registro.

Activar las opciones de recuperación

  • La eliminación temporal está habilitada de manera predeterminada. Puede elegir un período de retención de entre 7 y 90 días.

  • Active la protección de purga para evitar la eliminación permanente inmediata de HSM o las claves.

    Cuando la protección de purga esté activada, HSM o las claves permanecerán en estado eliminado hasta que transcurra el tiempo de retención.

Pasos siguientes