保护托管 HSM 的最佳做法
本文介绍有关保护 Azure 密钥保管库托管 HSM 密钥管理系统的最佳做法。 若要查看安全建议的完整列表，请参阅 Azure 托管 HSM 安全基线。
控制对托管 HSM 的访问权限
托管 HSM 是一种保护加密密钥的云服务。 由于这些密钥很敏感且对业务至关重要，因此只能允许授权的应用程序和用户使用，确保对托管 HSM 的保护。 托管 HSM 访问控制简要介绍了访问模型。 它说明了身份验证、授权以及基于角色的访问控制 (RBAC)。
要控制对托管 HSM 的访问权限，请执行以下操作：
- 为 HSM 管理员创建 Microsoft Entra 安全组（而不是将管理员角色分配给个人）以防止在删除个人帐户时出现“管理锁定”。
- 锁定对管理组、订阅、资源组和托管 HSM 的访问。 使用 Azure 基于角色的访问控制 (Azure RBAC) 来控制对管理组、订阅和资源组的访问。
- 使用托管 HSM 本地 RBAC 创建按密钥进行的角色分配。
- 要保持职责分离，请避免将多个角色分配给同一主体。
- 使用最低特权访问主体来分配角色。
- 使用一组精确的权限来创建自定义角色定义。
创建备份
确保创建托管 HSM 的定期备份。
可以在 HSM 级别创建备份，还可以对特定密钥进行备份。
启用日志
为 HSM 启用日志记录。
还可以设置警报。
启用恢复选项
默认启用软删除。 可选择 7 到 90 天的保留期。
启用清除保护以防止立即永久删除 HSM 或密钥。
当启用清除保护时，托管 HSM 或密钥将保持已删除状态，直到保留期结束。