Рекомендации по защите управляемого устройства HSM

  • Статья

В этой статье приведены рекомендации по защите управляемой системы управления ключами HSM в Azure Key Vault. Полный список рекомендаций по безопасности см. в базовом плане безопасности управляемого устройства HSM Azure.

Управление доступом к управляемому HSM

Управляемый HSM — это облачная служба, которая защищает криптографические ключи. Так как эти ключи чувствительны и важны для вашего бизнеса, убедитесь, что вы защищаете управляемые устройства HSM, разрешая доступ только авторизованным приложениям и пользователям. Управление доступом управляемого устройства HSM предоставляет общие сведения о модели доступа. В нем объясняется проверка подлинности, авторизация и управление доступом на основе ролей (RBAC).

Чтобы управлять доступом к управляемому HSM, выполните приведенные действия.

  • Создайте группу безопасности Microsoft Entra для устройств HSM Администратор istrator (вместо назначения роли Администратор istrator отдельным лицам), чтобы предотвратить "блокировку администрирования" при удалении отдельной учетной записи.
  • Блокировка доступа к группам управления, подпискам, группам ресурсов и управляемым HSM. Управление доступом на основе ролей Azure (Azure RBAC) позволяет управлять доступом к группам управления, подпискам и группам ресурсов.
  • Создание назначений ролей для каждого ключа с помощью локального RBAC управляемого модуля HSM.
  • Чтобы сохранить разделение обязанностей, избегайте назначения нескольких ролей одному и тому же субъекту.
  • Используйте принцип доступа с минимальными привилегиями для назначения ролей.
  • Создайте определение пользовательской роли с помощью точного набора разрешений.

Создание резервных копий

  • Убедитесь, что вы создаете регулярные резервные копии управляемого устройства HSM.

    Резервные копии можно создавать на уровне HSM и для определенных ключей.

Включите ведение журнала.

Включение параметров восстановления.

  • Обратимое удаление по умолчанию. Срок хранения можно выбрать в диапазоне от 7 до 90 дней.

  • Включите защиту очистки, чтобы предотвратить немедленное постоянное удаление HSM или ключей.

    Когда защита от очистки включена, управляемый HSM или ключи остаются в удаленном состоянии до окончания срока хранения.

Следующие шаги