Najlepsze rozwiązania dotyczące zabezpieczania zarządzanego modułu HSM

  • Artykuł

Ten artykuł zawiera najlepsze rozwiązania dotyczące zabezpieczania zarządzanego systemu zarządzania kluczami HSM usługi Azure Key Vault. Aby uzyskać pełną listę zaleceń dotyczących zabezpieczeń, zobacz Punkt odniesienia zabezpieczeń zarządzanego modułu HSM platformy Azure.

Kontrolowanie dostępu do zarządzanego modułu HSM

Zarządzany moduł HSM to usługa w chmurze, która chroni klucze kryptograficzne. Ponieważ te klucze są wrażliwe i krytyczne dla Twojej firmy, upewnij się, że zabezpieczasz zarządzane moduły HSM, zezwalając na dostęp tylko przez autoryzowane aplikacje i użytkowników. Zarządzana kontrola dostępu do modułu HSM zawiera omówienie modelu dostępu. Wyjaśniono w nim uwierzytelnianie, autoryzację i kontrolę dostępu opartą na rolach (RBAC).

Aby kontrolować dostęp do zarządzanego modułu HSM:

  • Utwórz grupę zabezpieczeń Entra firmy Microsoft dla Administracja istratorów modułu HSM (zamiast przypisywać rolę Administracja istratora do użytkowników indywidualnych), aby zapobiec "blokadzie administracyjnej", jeśli pojedyncze konto zostanie usunięte.
  • Zablokuj dostęp do grup zarządzania, subskrypcji, grup zasobów i zarządzanych modułów HSM. Kontrola dostępu oparta na rolach (RBAC) platformy Azure umożliwia kontrolowanie dostępu do grup zarządzania, subskrypcji i grup zasobów.
  • Utwórz przypisania ról dla klucza przy użyciu lokalnej kontroli dostępu opartej na rolach zarządzanego modułu HSM.
  • Aby zachować rozdzielenie obowiązków, należy unikać przypisywania wielu ról do tych samych podmiotów zabezpieczeń.
  • Aby przypisać role, użyj zasady dostępu z najmniejszymi uprawnieniami.
  • Utwórz definicję roli niestandardowej przy użyciu dokładnego zestawu uprawnień.

Tworzenie kopii zapasowych

  • Upewnij się, że tworzysz regularne kopie zapasowe zarządzanego modułu HSM.

    Kopie zapasowe można tworzyć na poziomie modułu HSM i dla określonych kluczy.

Włącz rejestrowanie

Włącz opcje odzyskiwania

  • Usuwanie nietrwałe jest domyślnie włączone. Możesz wybrać okres przechowywania z zakresu od 7 do 90 dni.

  • Włącz ochronę przed przeczyszczaniem, aby zapobiec natychmiastowemu trwałemu usunięciu modułu HSM lub kluczy.

    Gdy ochrona przed przeczyszczeniem jest włączona, zarządzany moduł HSM lub klucze pozostają w stanie usuniętym do momentu zakończenia okresu przechowywania.

Następne kroki