你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

什么是 Azure Key Vault 托管的 HSM？

重要

我们正在将 HSM 系列更新为适用于 Azure Key Vault 托管 HSM 和 Azure Key Vault Premium 的 FIPS 140-3 3 级验证固件。请参阅更新托管 HSM 固件以提高安全性和合规性中的完整详细信息。

Azure Key Vault 托管 HSM（硬件安全模块）是一项云服务，它具备完全托管、高度可用、单租户和符合标准的特点。有了该服务，你就可以使用通过了 FIPS 140-2 级别 3 验证的 HSM 来保护云应用程序的加密密钥。它是 Azure 中关键管理解决方案之一。

有关定价信息，请参阅 Azure Key Vault 定价页上的“托管 HSM 池”部分。有关支持的密钥类型，请参阅关于密钥。

术语“托管 HSM 实例”与“托管 HSM 池”同义。为避免混淆，我们在这些文章中使用“托管 HSM 实例”。

注意

零信任是一种安全策略，由三个原则组成：“显式验证”、“使用最低特权访问”和“假定数据泄露”。数据保护（包括密钥管理）支持“使用最低特权访问”原则。有关详细信息，请参阅什么是零信任？

为什么要使用托管 HSM？

完全托管：此服务处理 HSM 预置、配置、修补和维护。
高度可用：每个 HSM 群集由多个 HSM 分区组成。如果硬件发生故障，HSM 群集的成员分区将自动迁移到运行状况良好的节点。有关详细信息，请参阅托管 HSM 服务级别协议
单租户：每个托管 HSM 实例都专用于单个客户，并包含由多个 HSM 分区组成的群集。每个 HSM 群集都使用特定于客户的单独安全域，该域以加密方式隔离每个客户的 HSM 群集。

集中式密钥管理：在一个位置管理整个组织内的重要高价值密钥。通过精细控制每个密钥的权限，可根据“最低特权访问”原则控制每个密钥的访问权限。
独立的访问控制：托管 HSM“本地 RBAC”访问控制模型允许指定的 HSM 群集管理员完全控制甚至连管理组、订阅或资源组管理员都无法重写的 HSM。
专用终结点：使用专用终结点从虚拟网络中运行的应用程序以私密方式安全地连接到托管 HSM。
通过 FIPS 140-2 级别 3 验证的 HSM：保护你的数据并满足通过 FIPS（联邦信息保护标准）140-2 级别 3 验证的 HSM 的合规性要求。托管 HSM 使用 Marvell LiquidSecurity HSM 适配器。
监视和审核：与 Azure Monitor 完全集成。通过 Azure Monitor 获取所有活动的完整日志。将 Azure Log Analytics 用于分析和警报。
数据驻留：托管 HSM 不会在客户部署 HSM 实例的区域之外存储/处理客户数据。

生成（或使用 BYOK 导入）密钥，并使用它们来加密 Azure 服务中的静态数据，如 Azure 存储、Azure SQL、Azure 信息保护和 Microsoft 365 的客户密钥。有关使用托管 HSM 的 Azure 服务的更完整列表，请参阅数据加密模型。