Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Effectief gebruikersbeheer is van cruciaal belang voor het onderhouden van de beveiliging en integriteit van Azure Cloud HSM. In dit artikel vindt u een overzicht van aanbevolen procedures voor het beheren van gebruikersidentiteiten, het beveiligen van referenties, het implementeren van redundantie en het beperken van gebruikersmachtigingen om de beveiliging te verbeteren en onbevoegde toegang te voorkomen.
Een door de gebruiker beheerde identiteit instellen
U kunt een door de gebruiker toegewezen beheerde identiteit instellen voor Azure Cloud HSM. Een beheerde identiteit voor Azure Cloud HSM is speciaal afgestemd op back-up- en herstelbewerkingen van gebruikers.
Een beheerde identiteit vereenvoudigt het overdragen van cloud-HSM-back-ups naar een opslagaccount. Het maakt ook BCDR-scenario's (bedrijfscontinuïteit en herstel na noodgevallen) mogelijk, waaronder het inrichten van nieuwe Cloud HSM-exemplaren van bestaande back-ups. Deze installatie is essentieel voor klanten die toegang nodig hebben tot hun back-ups en de mogelijkheid om onafhankelijk herstelbewerkingen uit te voeren om te voldoen aan BCDR-vereisten.
U wordt aangeraden een door de gebruiker toegewezen beheerde identiteit voor virtuele Azure-machines (VM's) te gebruiken met behulp van een van deze items:
- De Azure Cloud HSM SDK (bijvoorbeeld de Cloud HSM-client)
- VM's waarop beheeracties worden uitgevoerd
- Toepassingen die toegang hebben tot HSM-resources (Hardware Security Module)
Deze aanpak verbetert de beveiliging, vereenvoudigt het beheer, zorgt voor schaalbaarheid en helpt bij het voldoen aan de nalevingsvereisten. Het biedt een veilige en traceerbare methode voor het beheren van beheerderstoegang tot Azure-VM's.
Sterke wachtwoorden gebruiken
U wordt aangeraden unieke, sterke wachtwoorden te maken. Azure Cloud HSM heeft een minimale wachtwoordlengte van 8 tekens, met een maximale lengte van 32 tekens. U wordt aangeraden een wachtwoord met ten minste 12 tekens te gebruiken.
Neem een combinatie van hoofdletters en kleine letters, cijfers en speciale tekens op. Vermijd veelvoorkomende woorden en persoonlijke gegevens. Overweeg een willekeurige woordgroep of zin te gebruiken die u gemakkelijk kunt onthouden, maar moeilijk voor anderen om te raden.
Uw HSM-gebruikersreferenties beveiligen
Het beveiligen van uw HSM-gebruikersreferenties is van cruciaal belang, omdat deze referenties toegang verlenen om cryptografische en beheerbewerkingen uit te voeren op uw HSM.
Azure Cloud HSM behoudt geen toegang tot uw HSM-gebruikersreferenties. Als u geen toegang meer hebt tot uw referenties, kan Microsoft u niet helpen.
Secundaire beheerders implementeren voor vergrendelingspreventie
Om het risico van HSM-vergrendeling te voorkomen, raden we u aan ten minste twee beheerders aan te wijzen om continuïteit te bieden. Als het ene beheerderswachtwoord verloren gaat, kan de andere beheerder het opnieuw instellen.
Meerdere cryptografiegebruikers met beperkte machtigingen instellen
Wanneer verantwoordelijkheden worden verdeeld over cryptografiegebruikers (CA's), heeft geen enkele gebruiker absolute controle over het hele systeem. U moet meerdere CA's maken en de machtigingen van elk ervan beperken. Deze taak omvat vaak het toewijzen van afzonderlijke verantwoordelijkheden en acties aan CA's.
Eén CU kan bijvoorbeeld worden belast met het genereren en distribueren van sleutels, terwijl anderen deze sleutels in uw toepassing gebruiken.
Sleutel delen instellen met meerdere cryptografiegebruikers
Sleutels kunnen worden gedeeld met andere CA's. Alleen de oorspronkelijke eigenaar van de sleutel kan deze echter verpakken. Extra gebruikers kunnen de sleutel gebruiken, maar kunnen geen tekstutfvoer zonder versleuteling uitvoeren, zelfs niet als ze toegang hebben tot een sleutel die de gebruiker als cryptografieofficier (CO) heeft gemarkeerd als TRUSTED.
Beperk de mogelijkheid van cryptografiegebruikers om sleutels te exporteren
De CO-gebruiker kan een set kenmerken definiëren om de bewerkingen te reguleren die een CU kan uitvoeren. Deze kenmerken omvatten het beperken van de mogelijkheid van de CU voor het verpakken/uitpakken van sleutels en het wijzigen van sleutelkenmerken of het afleiden van sleutels. Deze beperking helpt voorkomen dat de CU persoonlijke sleutelmateriaal uit de HSM extraheert.
U kunt de setUserAttributes opdracht gebruiken om deze kenmerken te configureren.
Beperk de controle van cryptografiefunctionarissen over cryptografiegebruikers
Als u wilt beperken dat CO-gebruikers toegang hebben tot het sleutelmateriaal van een CU, is het mogelijk om de beheertoegang van een CO-gebruiker in te trekken. U wilt bijvoorbeeld voorkomen dat een CO-gebruiker een sleutel markeert als vertrouwd en een export met tekst zonder opmaak uitvoert met behulp van die sleutel.
De disableUserAccess opdracht bereikt deze beperking door de toegang van een CO-gebruiker tot de opgegeven CU in te trekken. Een CO-gebruiker kan deze meting echter mogelijk omzeilen door een eerdere back-up te gebruiken die deze beperking mist.