联邦信息处理标准 (FIPS) 出版物 140-2
FIPS 140-2 标准概述
联邦信息处理标准 (FIPS) 出版物 140-2 是美国政府标准，它定义了信息技术产品中加密模块的最低安全要求，如 1996 年《信息技术管理改革法案》第 5131 节所定义。
加密模块验证计划 (CMVP) ，这是美国国家标准与技术研究院 (NIST) 和加拿大网络安全中心 (CCCS) 的共同努力，验证加密模块符合加密模块标准 (安全要求，即 FIPS 140-2) 和相关 FIPS 加密标准。 FIPS 140-2 安全要求涵盖与加密模块设计和实现相关的 11 个领域。 NIST 信息技术实验室运行一个相关程序，用于验证模块中 FIPS 批准的加密算法。
Microsoft 的 FIPS 140-2 验证方法
自 2001 年标准推出以来，Microsoft 一直积极致力于满足 140-2 要求，并验证了加密模块。 Microsoft 根据美国国家标准与技术研究院 (NIST) 加密模块验证计划 (CMVP) 验证其加密模块。 多个 Microsoft 产品（包括许多云服务）使用这些加密模块。
有关 Microsoft Windows 加密模块、每个模块的安全策略以及 CMVP 证书详细信息目录的技术信息，请参阅 Windows 和 Windows Server FIPS 140-2 内容。
Microsoft 范围内的云平台和云服务
虽然当前的 CMVP FIPS 140-2 实施指南排除了对云服务本身的 FIPS 140-2 验证：云服务提供商可以选择为构成其云服务的计算元素获取和操作 FIPS 140 验证的加密模块。 Microsoft 联机服务，其中包括已经过 FIPS 140-2 验证的组件，其中包括：
- Azure 与 Azure 政府
- Dynamics 365和Dynamics 365政府
- Office 365、Office 365 美国政府版和 Office 365 美国政府国防部版
Azure、Dynamics 365和 FIPS 140-2
有关 Azure、Dynamics 365和其他联机服务符合性的详细信息，请参阅 Azure FIPS 140-2 产品/服务。
Office 365和 FIPS 140-2
Office 365环境
Microsoft Office 365 是一个多租户超大规模云平台，同时面向全球多个区域的客户提供应用和服务的集成体验。 大多数 Office 365 服务使客户能够指定其客户数据所在的区域。 Microsoft 可能会将客户数据复制到同一地理区域（例如，美国）中的其他区域，以实现数据复原，但 Microsoft 不会在所选地理区域之外复制客户数据。
本部分介绍以下Office 365环境：
- 客户端软件（客户端）：客户设备上运行的商业客户端软件。
- Office 365（商业）：全球范围内提供的商业公共 Office 365 云服务。
- Office 365 政府社区云 (GCC)：Office 365 GCC 云服务适用于美国联邦、州、地方、部落政府，以及代表美国政府持有或处理数据的承包商。
- Office 365 政府社区云 - 高 (GCC High)：Office 365 GCC High 云服务根据美国国防部 (DoD) 安全要求准则级别 4 控件进行设计，并支持严格监管的联邦和防御信息。 联邦机构、国防工业基地 (DIB) 和政府承包商使用此环境。
- Office 365 DoD (DoD)：Office 365 DoD 云服务根据 DoD 安全要求准则级别 5 控件进行设计，并支持严格的联邦和防御法规。 此环境供美国国防部专用。
使用本部分可帮助你跨受监管行业和全球市场履行合规性义务。 若要了解哪些服务在哪些区域可用，请参阅国际可用性信息和 Microsoft 365 客户数据的存储位置文章。 有关 Office 365 政府版云环境的详细信息，请参阅 Office 365 政府云文章。
你的组织完全负责确保遵守所有适用的法律和法规。 本节中提供的信息不构成法律建议，你应咨询法律顾问，以了解有关组织法规合规性的任何问题。
Office 365 适用性和范围内的服务
使用下表确定 Office 365 服务和订阅的适用性：
| 适用性 | 范围内服务 |
|---|---|
| Office 365、GCC、GCC High、DoD | 请参阅 FIPS 140-2 验证 |
常见问题解答
“FIPS 140 已验证”和“FIPS 140 合规”之间有何区别？
“FIPS 140 已验证”是指加密模块或嵌入模块的产品已通过 CMVP (“认证”) 验证，符合 FIPS 140-2 要求。 “FIPS 140 合规”是 IT 产品的行业术语，它依赖于 FIPS 140 验证产品来提供加密功能。
Microsoft 何时进行 FIPS 140 验证？
启动模块验证的节奏与 Windows 10 和 Windows Server 的功能更新一致。 随着软件行业的发展，操作系统的发布频率更高，每月有软件更新。 Microsoft 对功能版本进行验证，但在版本之间，会尽量减少对加密模块的更改。
FIPS 140 验证中包含哪些计算机？
Microsoft 在运行 Windows 10 和 Windows Server 的硬件配置的代表性示例上验证加密模块。 当环境使用硬件时，接受此 FIPS 140-2 验证是常见的行业做法，这类似于用于验证过程的示例。
NIST 网站上列出了许多模块。 如何实现知道哪个适用于我的代理机构？
如果需要使用通过 FIPS 140-2 验证的加密模块，则需要验证所使用的版本是否显示在验证列表中。 CMVP 和 Microsoft 维护按产品版本组织的已验证加密模块的列表，以及用于确定在 Windows 系统上安装了哪些模块的说明。 有关将系统配置为合规的详细信息，请参阅 Windows 和 Windows Server FIPS 140-2 内容。
在证书上“在 FIPS 模式下操作时”意味着什么？
此注意事项告知读者，必须遵循所需的配置和安全规则，才能以符合其 FIPS 140-2 安全策略的方式使用加密模块。 每个模块都有自己的安全策略（用于运行的安全规则的精确规范），并采用批准的加密算法、加密密钥管理和身份验证技术。 安全规则在每个模块的安全策略中定义。 有关详细信息，包括指向通过 CMVP 验证的每个模块的安全策略的链接，请参阅 Windows 和 Windows Server FIPS 140-2 内容。
FedRAMP 是否需要 FIPS 140-2 验证？
是的，联邦风险和授权管理计划 (FedRAMP) 依赖于 NIST SP 800-53 修订版 4 定义的控制基线，包括要求使用 FIPS 验证加密或 NSA 批准的加密的 SC-13 加密保护 。
是否可以在代理机构的认证过程中使用 Microsoft 遵守 FIPS 140-2？
若要符合 FIPS 140-2，必须将系统配置为在 FIPS 批准的操作模式下运行，其中包括确保加密模块仅使用 FIPS 批准的算法。 有关将系统配置为合规的详细信息，请参阅 Windows 和 Windows Server FIPS 140-2 内容。
FIPS 140-2 与通用标准之间的关系是什么？
这是两个独立的安全标准，用途不同，但相互补充。 FIPS 140-2 专门用于验证软件和硬件加密模块，而通用条件旨在评估 IT 软件和硬件产品中的安全功能。 常见条件评估通常依赖于 FIPS 140-2 验证来保证基本加密功能已正确实现。