Azure Cloud HSM 提供高保證硬體安全模組（HSM）解決方案，用於保護加密金鑰並保護雲端中的敏感工作負載。 實施安全最佳實務對於防止未經授權的access、維護營運完整性及優化效能至關重要。
本文提供安全建議，協助保護您的 Azure Cloud HSM 部署。
本文的安全建議實作了 零信任 原則：「明確驗證」、「使用最低權限存取」以及「假設入侵」。 如需完整的零信任指導，請參閱零信任指導中心。
服務特定安全性
Azure Cloud HSM 是一項單租戶、FIPS 140-3 三級驗證服務，賦予客戶對其 HSM 的完整管理權限。 保護信任的根源對於維護部署安全至關重要。
限制對分割區擁有者私鑰的存取：限制對應用程式分割區擁有者（POTA）私鑰
PO.key的存取。 應用程式分割區管理員（AOTA）與 POTA 私鑰等同於根權限，能重設分割區內密碼官（CO）使用者的密碼（AOTA 用於分割區 0，POTA 用於使用者分割區）。PO.key在執行時不需要用於 HSM 存取。 僅在初次簽署分割區擁有者驗證憑證（POAC）和重設 CO 密碼時需要。 離線儲存PO.key，並在離線機器上執行初始 POAC 簽約，若可能的話。 你有責任保護你的 POTA 私鑰。 遺失後，無法恢復 CO 密碼。 妥善儲存 POTA 私鑰並維護適當的備份。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。了解實體安全保障：Azure Cloud HSM 託管於具備竄改偵測機制的安全資料中心。 實體安全是 Microsoft 的責任，也是服務本身的固有。 欲了解更多資訊，請參閱 實體安全。
圍繞服務的營運模式規劃：Azure Cloud HSM 沒有排程維護時段，但 Microsoft 會提前通知您任何預期的影響。 追蹤這些通知，並將其與您的變更控制流程對齊。 欲了解更多資訊，請參閱 服務營運。
網路安全性
妥善配置您的網路，有助於防止未經授權的access，並降低外部威脅的風險。
- 使用私人端點：透過使用私有子網與私有端點，協助保護您的Azure雲端 HSM 部署，避免暴露於公共網際網路。 此方法確保流量停留在 Microsoft 骨幹網路內，降低未經授權存取的風險。 欲了解更多資訊，請參閱 Azure Cloud HSM 的網路安全及 Integrated Azure Cloud HSM 與 Azure Private Link。
身分識別與存取權管理
有效的使用者管理與認證控制對於維護 Azure Cloud HSM 的安全性與完整性至關重要。 對使用者身份、憑證與權限實施適當的控管，有助於防止未經授權的access，並確保營運的連續性。
使用強密碼：為 HSM 用戶建立獨特且強密碼。 使用至少 12 個字元，包括大寫和小寫字母、數位和特殊字元的混合。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
保護您的 HSM 使用者憑證：請謹慎保護您的 HSM 使用者憑證，因為遺失Microsoft無法恢復。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
實施次要管理員以防止鎖定：指定至少兩名管理員以防止 HSM 鎖定，以防其中一組密碼遺失。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
建立多個密碼使用者（CU）並擁有受限制權限：建立多個具有明確職責的CU，以防止任何單一使用者擁有完全控制權。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
限制 CU 匯出金鑰的能力：透過設定適當的使用者屬性，限制 CU 匯出金鑰資料。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
限制 CO 對 CU 的控制：使用指令
disableUserAccess阻止 CO 使用者管理特定 CU。 CO 使用者可以用舊備份繞過此指令。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。設定受管理身份：建立使用者指派的受管理身份，用於備份與還原操作，以及執行管理操作的虛擬機。 欲了解更多資訊，請參閱 Azure 雲端 HSM 中的使用者管理。
安全儲存 HSM 憑證：保護儲存憑證，避免在未使用時外洩。 設定您的環境以自動擷取和設定認證。 欲了解更多資訊，請參閱 Authentication in Azure Cloud HSM。
使用隱式登入進行 JCE 認證：盡可能使用隱式登入Java密碼擴充（JCE）認證，以實現自動憑證管理與重新認證。 欲了解更多資訊，請參閱 Authentication in Azure Cloud HSM。
避免在執行緒間共享會話：對於多執行緒應用程式，應為每個執行緒指派自己的會話，以避免衝突與安全問題。 欲了解更多資訊，請參閱 Authentication in Azure Cloud HSM。
實作客戶端重試：為 HSM 操作新增重試邏輯，以處理潛在的維護事件或 HSM 替換。 欲了解更多資訊，請參閱 Authentication in Azure Cloud HSM。
謹慎管理 HSM 用戶端會話：請注意
azurecloudhsm_client同一主機上會跨應用程式共享會話。 適當的會話管理可避免衝突。 欲了解更多資訊，請參閱 Authentication in Azure Cloud HSM。
資料保護
妥善處理密鑰存儲限制、密鑰包裝安全性、密鑰屬性及快取策略，能提升保護與效能。
實施金鑰輪換：定期輪換金鑰，以替換舊金鑰並釋放儲存空間，同時維持安全性。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
使用金鑰階層結構：透過使用主金鑰加密其他金鑰，減少 HSM 中儲存的金鑰數量。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
在可行時共享並重複使用金鑰：在適當情況下，透過多個會話共享或重複使用金鑰來減少storage需求。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
安全刪除未使用的金鑰：移除不再需要的金鑰，以防止不必要的儲存空間消耗。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
盡可能將金鑰設為不可解壓：用
EXTRACTABLE=0來確保金鑰無法匯出 HSM 外。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。啟用可信金鑰包裝：用
WRAP_WITH_TRUSTED=1來限制金鑰封裝至受信任金鑰。 此動作可防止未經授權的金鑰導出。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。使用鍵屬性限制權限：產生鍵時只指派必要的屬性，以限制非預期操作。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
為了效能快取金鑰物件：在應用程式啟動時只使用一次金鑰尋找指令，並將回傳的金鑰物件儲存在應用程式記憶體中以降低延遲。 欲了解更多資訊，請參閱 Azure Cloud HSM 中的金鑰管理。
記錄和監視
設定 HSM 作業稽核日誌：HSM 作業稽核日誌提供由 HSM 韌體產生的防篡改紀錄，用於對您的 HSM 分割區執行的管理作業。 這些紀錄透過記錄登入、使用者與金鑰管理、金鑰匯入與匯出，以及備份與還原等操作，支援問責、可追溯性、事件調查及法規遵循。 每批次都由 HSM 簽署，匯出的紀錄包含簽名和 HSM 公開憑證，方便你驗證稽核紀錄的完整性與可信性。 欲了解更多資訊，請參閱教學：Azure Cloud HSM 中的 HSM 運營稽核日誌。
將日誌串流至 Event Hubs 以進行即時處理：若想即時處理日誌並與下游 SIEM 系統或自訂分析管線整合，請將 Event Hubs 設定為診斷設定的另一個目的地。 欲了解更多資訊，請參閱教學：為 Azure Cloud HSM 配置事件中心。
合規性和治理
定期合規審查有助於證明您的 Azure Cloud HSM 部署符合產業及法規標準。
- 了解服務的合規狀況：Azure Cloud HSM 符合多項產業合規標準與認證，包括 FIPS 140-3 第三級、eIDAS 及 PCI / PCI 3DS。 在使用 Cloud HSM 處理受管制工作負載前，請先確認目前的認證清單。 欲了解更多資訊，請參閱 合規與認證。
備份及復原
Azure Cloud HSM 透過叢集式 HSM 提供高可用性，這些 HSM 在故障時同步金鑰與政策，並自動遷移工作負載。
實施備份與災難復原：該服務支援完整的備份與還原作業，保留所有金鑰、屬性及角色分配。 HSM 衍生的金鑰保護 Microsoft 無法存取的備份。 Azure Cloud HSM 不支援還原到已啟用的 HSM。 為了業務持續性，請使用受管理身份進行認證，將備份存放於私有的 Azure Blob 儲存體，實作最小限度的角色基礎存取控制（RBAC）權限，並關閉共享金鑰存取。 其他復原選項包括將
extractMaskedObject金鑰以加密膠點形式提取、安全儲存，以及必要時匯insertMaskedObject入。 部署於兩個區域以實現故障轉移能力。 欲了解更多資訊，請參閱備份與還原 Azure Cloud HSM 資源。驗證所有節點間的使用者與金鑰同步：Azure雲端 HSM 運作為三個節點的叢集。 在自我修復或升級等服務事件中，使用者或金鑰可能無法複製到所有節點。 若遇到間歇性認證或操作失敗，請確認每個節點上所有使用者與金鑰均存在。 欲了解更多資訊，請參閱「Azure Cloud HSM 節點間的使用者與金鑰同步」。