你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Azure IoT 中心提供一个中心消息中心，用于 IoT 应用程序与所管理的设备之间的双向通信。 部署此服务时，请务必遵循安全最佳做法来保护数据、配置和基础结构。
本文提供有关如何最好地保护 Azure IoT 中心部署的指导。 如果还使用其他 Azure IoT 服务，请参阅 保护 IoT 解决方案。
网络安全
保护对 IoT 中心的网络访问对于防止未经授权的访问和保护设备与云之间的数据流至关重要。
启用专用终结点：使用 Azure 专用链接通过虚拟网络路由流量来消除公共 Internet 公开，使设备能够连接到 IoT 中心，而无需公开公共 Internet。 请参阅 使用 Azure 专用链接对虚拟网络的 IoT 中心支持。
禁用公共网络访问：如果可以改用专用终结点，请禁用公共终结点，从而阻止从公共 Internet 直接访问。 请参阅 管理 IoT 中心的公用网络访问。
配置 IP 筛选：通过仅允许特定的 IP 地址或范围来限制与 IoT 中心的连接，从而限制潜在攻击的暴露。 请参阅 IoT 中心 IP 筛选。
强制实施 TLS 1.2 和强密码套件：强制使用 TLS 1.2 和建议的密码套件进行所有设备和服务连接，从而增强连接安全性。 请参阅 IoT 中心中的传输层安全性（TLS）支持。
标识和访问管理
适当的标识和访问管理对于控制谁可以管理 IoT 中心以及设备如何向 IoT 中心进行身份验证至关重要。
使用 Microsoft Entra ID 身份验证：实现 Microsoft Entra ID（前 Azure AD）进行身份验证和授权服务 API 请求，实现比共享访问策略更精细的访问控制。 请参阅 使用 Azure Active Directory 控制对 IoT 中心的访问。
实现 Azure RBAC 以实现精细权限：为访问 IoT 中心管理 API 的用户和应用程序分配基于角色的最低权限访问控制，从而减少未经授权的作的风险。 请参阅 使用 Azure RBAC 角色分配管理对 IoT 中心的访问权限。
使用 X.509 证书进行设备身份验证：实现基于 X.509 证书的身份验证，而不是生产环境的 SAS 令牌，以提高安全性并启用更好的凭据管理。 请参阅 使用 X.509 证书对标识进行身份验证。
避免跨设备共享对称密钥：向每个设备分配唯一凭据，以防止在泄露单个密钥时发生广泛泄露，从而限制潜在的凭据泄露的影响。 请参阅 设备制造商的安全做法。
根据需要禁用共享访问策略：使用 Microsoft Entra ID 进行身份验证时，通过禁用共享访问策略和令牌来减少攻击面。 请参阅 强制Microsoft Entra 身份验证。
数据保护
保护传输中的数据和静态数据对于维护 IoT 解决方案的机密性和完整性至关重要。
将硬件安全模块用于设备机密：在硬件安全模块（HSM）中存储设备证书和私钥，以防止提取和篡改，增强身份验证凭据的安全性。 请参阅 硬件安全模块。
实现设备级数据加密：在传输到 IoT 中心之前加密设备上的敏感数据，以添加 TLS 以外的额外保护层，尤其是对于高度敏感的信息。 除了在传输到 IoT 中心之前加密设备上的敏感数据外，还加密存储在 Azure IoT 有状态组件（例如设备孪生）中的任何数据。 这适用于设备到云和云到设备的通信。 通过标准加密算法查看静态数据保护。
使用最新的 SDK 版本：确保使用的是最新的 IoT 中心设备 SDK，这些 SDK 实现了各种安全功能，包括加密和身份验证。 请参阅 Azure IoT SDK。
使根 CA 证书保持更新：定期更新设备上的受信任的根证书以维护安全的 TLS 连接，避免由于证书过期或吊销而导致连接失败。 请参阅 IoT 中心 TLS 支持。
日志记录和监控
全面的日志记录和监视对于检测和响应 IoT 解决方案中的潜在安全问题至关重要。
为连接和设备遥测启用资源日志：配置诊断设置以将 IoT 中心资源日志发送到 Azure Monitor 日志，以跟踪连接尝试、错误和作，以便进行安全调查。 请参阅 IoT 中心的监视和诊断问题。
为连接问题设置警报：基于指标和日志创建警报，以检测异常模式，例如重复身份验证失败或可能指示安全问题的意外断开连接。 请参阅 监视、诊断和排查 Azure IoT 中心设备连接问题。
启用 Microsoft Defender for IoT：在 IoT 中心激活 Microsoft Defender for IoT，以获取针对 IoT 解决方案的潜在威胁的实时安全监视、建议和警报。 请参阅 快速入门：在 Azure IoT 中心启用 Microsoft Defender for IoT。
监视设备 SDK 版本：跟踪连接设备所使用的 SDK 版本，以确保它们使用包含最新安全修补程序的安全和 up-to日期版本。 请参阅 监视 Azure IoT 中心。
合规性和治理
建立适当的治理并确保符合安全标准是维护安全 IoT 解决方案的关键方面。
应用适用于 IoT 中心的 Azure Policy：实施 Azure Policy 以在整个 IoT 中心强制和审核安全配置，确保维护一致的安全标准。 请参阅 Azure IoT 中心的 Azure Policy 内置定义。
定期审核访问权限：定期查看和验证授予用户、应用程序和设备的访问权限，以确保他们遵守最低权限原则。 请参阅 标识管理最佳做法。
启用用于审核的诊断设置：配置诊断设置以捕获和存档 IoT 中心的审核日志，以支持安全调查和合规性要求。 请参阅 应启用 IoT 中心中的资源日志。
实现网络微分段：通过实施网络微分段来逻辑将 IoT 设备与其他组织资源分开，从而限制安全事件的潜在爆炸半径。 请参阅 网络分段。
设备安全性
保护连接到 IoT 中心的设备对于 IoT 解决方案的整体安全性至关重要。
使用可续订的设备凭据：实施定期更新设备凭据的过程，例如滚动 X.509 证书，以限制已泄露身份验证的影响。 请参阅 如何滚动更新 X.509 设备证书。
在设备上部署更新代理：确保设备具有用于接收和应用安全更新的更新代理，使固件和软件在整个设备生命周期内保持安全。 请参阅 IoT 中心的设备更新。
实现安全设备预配：使用 Azure IoT 中心设备预配服务（DPS）通过适当的身份验证机制大规模安全、零接触地预配设备。 请参阅 IoT 中心设备预配服务。
使用受信任的平台模块：使用基于硬件的安全功能（如受信任的平台模块（TPM）部署设备，为加密密钥提供安全存储，并防止物理篡改。 请参阅 TPM 证明。
撤销已泄露设备的访问：实施过程，快速撤销显示泄露迹象的设备的访问权限，防止它们连接到 IoT 中心并可能影响其他设备。 请参阅 如何撤销设备访问权限。