Správa uživatelů v Azure Cloud HSM

Efektivní správa uživatelů je zásadní pro zachování zabezpečení a integrity cloudových HSM Azure. Tento článek popisuje osvědčené postupy pro správu identit uživatelů, zabezpečení přihlašovacích údajů, implementaci redundance a omezení uživatelských oprávnění k vylepšení zabezpečení a zabránění neoprávněným access.

Vytvořte spravovanou identitu přiřazenou uživatelem

Pro Azure Cloud HSM můžete vytvořit spravovanou identitu přiřazenou uživatelem. Spravovaná identita pro Azure Cloud HSM je přizpůsobená speciálně pro operace zálohování a obnovení uživatelů.

Spravovaná identita usnadňuje přenos záloh cloudových HSM do účtu storage. Umožňuje také scénáře provozní kontinuity a zotavení po havárii (BCDR), včetně zřizování nových instancí cloudových HSM z existujících záloh. Toto nastavení je nezbytné pro zákazníky, kteří potřebují access ke svým zálohám a schopnost nezávisle spouštět operace obnovení, aby splnili požadavky BCDR.

Doporučujeme použít spravovanou identitu přiřazenou uživatelem pro Azure virtual machines (virtuální počítače) pomocí jedné z těchto položek:

  • Sada Azure Cloud HSM SDK (například cloudový klient HSM)
  • Virtuální počítače, ve kterých se provádějí akce správy
  • Aplikace, které přistupují k prostředkům modulu hardwarového zabezpečení (HSM)

Tento přístup zvyšuje zabezpečení, zjednodušuje správu, pomáhá zajistit škálovatelnost a pomáhá při plnění požadavků na dodržování předpisů. Poskytuje zabezpečenou a trasovatelnou metodu pro správu administrativního přístupu k virtuálním počítačům Azure.

Použití silných hesel

Doporučujeme vytvořit jedinečná a silná hesla. Azure Cloud HSM má minimální délku hesla 8 znaků s maximální délkou 32 znaků. Doporučujeme použít heslo, které má alespoň 12 znaků.

Začleňte kombinaci velkých a malých písmen, číslic a speciálních znaků. Vyhněte se běžným slovům a osobním údajům. Zvažte použití náhodné fráze nebo věty, která je pro vás snadno zapamatovatelná, ale pro ostatní je obtížné uhodnout.

Zabezpečení přihlašovacích údajů uživatele HSM

Ochrana přihlašovacích údajů uživatele HSM je nejdůležitější, protože tyto přihlašovací údaje udělují access k provádění kryptografických operací a operací správy v HSM.

Azure Cloud HSM si nezachovává access k přihlašovacím údajům uživatele HSM. Pokud ztratíte access ke svým přihlašovacím údajům, Microsoft vám nepomůže.

Ochrana certifikátu vlastníka oddílu

Certifikát vlastníka oddílu (PO.crt) je důležitou komponentou, kterou nahrajete během inicializace HSM. Po nahrání certifikátu vlastníka oddílu ho nemůžete změnit. Pokud nahrajete nesprávný certifikát, musíte odstranit prostředek HSM cloudu Azure a nasadit ho znovu.

Bezpečně uložte certifikát vlastníka oddílu a odpovídající privátní klíč (PO.key). Privátní klíč ponechte offline, kdykoli je to možné, protože se vyžaduje jenom pro počáteční podepisování a resetování hesla kryptografického důstojníka (CO). Další informace o privátním klíči vlastníka oddílu najdete v tématu Zabezpečení nasazení HSM cloudu Azure.

Ujistěte se, že jsou uživatelé HSM k dispozici na všech uzlech clusteru.

Když vytvoříte uživatele, vytvoří se uživatel na všech třech uzlech clusteru Cloud HSM, pokud jsou k dispozici všechny uzly. Na rozdíl od klíčů ale Azure cloudová služba HSM neprovádí synchronizaci back-endových uživatelů. Správa uživatelů je plně spravovaná zákazníkem.

Upozornění

Pokud uživatel existuje jenom na jednom uzlu a tento uzel selže, můžete ho trvale uzamknout bez možnosti obnovení. Vždy ověřte, že jsou uživatelé synchronizovaní napříč všemi uzly.

Pokud se vytvoření uživatele nezdaří na jednom nebo několika uzlech (například kvůli nedostupnosti uzlu), je nutné znovu vytvořit uživatele na nedostupných uzlech, jakmile se obnoví a budou opět ve správném stavu. K tomu znovu spusťte příkaz create uživatele s identickými přihlašovacími údaji, což vynutí aktualizaci na všechny chybějící uzly. Po opětovném vytvoření uživatele se přihlaste jako tento uživatel kryptografie (CU) a potvrďte připojení ke všem třem uzlům clusteru.

Informace o příkazech pro vytváření uživatelů najdete v průvodci onboardingem Azure Cloud HSM. Podrobný postup identifikace a synchronizace chybějících uživatelů najdete v tématu Synchronizace uživatelů a klíčů v uzlech Azure Cloud HSM.

Zavedení sekundárních správců pro prevenci blokování

Pokud chcete zabránit riziku uzamčení HSM, doporučujeme určit alespoň dva správce, aby zajistili kontinuitu. Pokud dojde ke ztrátě jednoho hesla správce, může ho resetovat druhý správce.

Vytvoření více uživatelů kryptografie s omezenými oprávněními

Pokud jsou zodpovědnosti distribuovány mezi uživatele kryptografie (CU), žádný jednotlivý uživatel nemá absolutní kontrolu nad celým systémem. Měli byste vytvořit několik jednotek CU a odpovídajícím způsobem omezit oprávnění jednotlivých jednotek. Tento úkol často zahrnuje přiřazování jedinečných odpovědností a akcí jednotkám CU.

Například jeden CU může být za úkol generovat a distribuovat klíče, zatímco ostatní tyto klíče používají ve vaší aplikaci.

Nastavení sdílení klíčů s více uživateli kryptografie

Klíče je možné sdílet s jinými CU. Zabalit ho ale může pouze původní vlastník klíče. Další uživatelé mohou použít klíč, ale nemůžou provádět export prostého textu, i když mají access ke klíči, který uživatel kryptografie (CO) označil jako TRUSTED.

Omezení možnosti uživatelů kryptografie exportovat klíče

Uživatel CO může definovat sadu atributů pro regulaci operací, které může spustit CU. Mezi tyto atributy patří omezení schopnosti CU zabalit nebo rozbalit klíče a upravit atributy klíče nebo odvodit klíče. Toto omezení pomáhá zabránit centrální jednotce v extrahování privátního klíče z HSM.

Tyto atributy můžete nakonfigurovat pomocí setUserAttributes příkazu.

Omezení kontroly kryptografického důstojníka nad uživateli kryptografie

Pokud potřebujete uživatelům CO omezit přístup ke klíčovým materiálům CU, je možné odvolat správu přístupu uživatele CO. Například můžete chtít zabránit uživateli ze skupiny CO, aby označil klíč jako důvěryhodný a zároveň prováděl export prostého textu s použitím tohoto klíče.

Příkaz disableUserAccess dosahuje tohoto omezení odvoláním přístupu uživatele CO k určené jednotce CU. Uživatel CO by však mohl tuto míru obejít pomocí dřívější zálohy, která toto omezení nemá.

Související obsah

  • Poslední aktualizace v