Procedure consigliate per proteggere il modulo di protezione hardware gestito

  • Articolo

Questo articolo illustra le procedure consigliate per proteggere il sistema di gestione delle chiavi del modulo di protezione hardware gestito di Azure Key Vault. Per un elenco completo delle raccomandazioni sulla sicurezza, vedere la baseline di sicurezza del modulo di protezione HSM gestito di Azure.

Controllare l'accesso a HSM gestito

Il modulo di protezione hardware gestito è un servizio cloud che protegge le chiavi crittografiche. Poiché queste chiavi sono sensibili e critiche per l'azienda, assicurarsi di proteggere i moduli di protezione hardware gestiti consentendo l'accesso solo da parte di applicazioni e utenti autorizzati. Il controllo di accesso del modulo di protezione hardware gestito offre una panoramica del modello di accesso. Illustra l'autenticazione, l'autorizzazione e il controllo degli accessi in base al ruolo.

Per controllare l'accesso a HSM gestito:

  • Creare un gruppo di sicurezza di Microsoft Entra per gli amministratori del modulo di protezione hardware (invece di assegnare il ruolo di amministratore agli utenti) per impedire il "blocco dell'amministrazione" se viene eliminato un singolo account.
  • Bloccare l'accesso ai gruppi di gestione, alle sottoscrizioni, ai gruppi di risorse e ai moduli di protezione hardware gestiti. Usare il controllo degli accessi in base al ruolo di Azure per controllare l'accesso ai gruppi di gestione, alle sottoscrizioni e ai gruppi di risorse.
  • Creare assegnazioni di ruolo per chiave usando il controllo degli accessi in base al ruolo locale del modulo di protezione hardware gestito.
  • Per mantenere la separazione dei compiti, evitare di assegnare più ruoli alle stesse entità di sicurezza.
  • Usare il principio di accesso con privilegi minimi per assegnare i ruoli.
  • Creare una definizione di ruolo personalizzata usando un set preciso di autorizzazioni.

Creare i backup

  • Assicurarsi di creare backup regolari del modulo di protezione hardware gestito.

    È possibile creare backup a livello di modulo di protezione hardware e per chiavi specifiche.

Abilitare la registrazione

Attivare le opzioni di ripristino

  • L’eliminazione temporanea è attivata per impostazione predefinita. È possibile specificare un periodo di conservazione compreso tra 7 e 90 giorni.

  • Attivare la protezione dalla rimozione per impedire l'eliminazione immediata e permanente del modulo di protezione hardware o delle chiavi.

    Quando la protezione dalla rimozione è attivata, il modulo di protezione hardware gestito o le chiavi rimangono in uno stato eliminato fino al termine del periodo di conservazione.

Passaggi successivi