有效的使用者管理對於維護 Azure 雲端 HSM 的安全性和完整性至關重要。 本文概述管理使用者身分識別、保護認證、實作備援，以及限制使用者許可權以增強安全性並防止未經授權的存取的最佳做法。
建立使用者自行管理的身分識別
您可以為 Azure Cloud HSM 建立使用者指派的受控識別。 Azure Cloud HSM 的受控識別專為用戶備份和還原作業量身打造。
受控識別有助於將雲端 HSM 備份傳輸到記憶體帳戶。 它也會啟用業務持續性和災難復原（BCDR）場景，包括從現有的備份中建立新的雲端 HSM 實例。 此設定對於需要存取其備份的客戶，以及能夠獨立執行還原作業以符合 BCDR 需求的客戶而言非常重要。
建議您使用下列其中一個項目來為 Azure 虛擬機（VM）採用使用者指派的受控身分識別：
- Azure 雲端 HSM SDK（例如雲端 HSM 用戶端）
- 執行系統管理動作的 VM
- 存取硬體安全性模組 （HSM） 資源的應用程式
此方法可增強安全性、簡化管理、協助確保延展性，以及協助符合合規性需求。 它提供安全且可追蹤的方法，用於管理 Azure VM 的系統管理存取權。
使用強密碼
建議您建立唯一的強密碼。 Azure Cloud HSM 的密碼長度下限為 8 個字元，最大長度為 32 個字元。 我們建議使用至少 12 個字元的密碼。
包含大寫和小寫字母、數字以及特殊字元的組合。 避免常見的單字和個人資訊。 請考慮使用一個隨機的片語或句子，方便您記住，但很難讓其他人猜測。
保護您的 HSM 使用者認證
保護 HSM 使用者認證至關重要，因為這些認證會授與存取權，以在您的 HSM 上執行密碼編譯和管理作業。
Azure Cloud HSM 不會保留 HSM 使用者認證的存取權。 如果您無法存取您的認證，Microsoft無法協助。
實施備用管理員以防範鎖定
若要防止 HSM 鎖定的風險，建議您至少指定兩個系統管理員來提供持續性。 如果遺失一個系統管理員密碼，另一個系統管理員可以重設密碼。
建立具有限制許可權的多個密碼編譯使用者
當責任分散於密碼編譯使用者 （CUS）之間時，沒有任何單一使用者完全控制整個系統。 您應該建立多個 OU，並據此限制每個 OU 的許可權。 這項工作通常牽涉到將不同的責任和動作指派給 CUs。
例如，一個 CU 可能會負責產生和散發金鑰，而其他人則會在應用程式中使用這些密鑰。
設定與多個密碼編譯使用者的金鑰共用
密鑰可以與其他 OU 共用。 不過，只有金鑰的原始擁有者可以包裝它。 其他使用者可以使用密鑰，但無法執行純文本匯出，即使他們能夠存取密碼編譯官員 （CO） 使用者標示為 TRUSTED的金鑰也一樣。
限制密碼編譯用戶導出密鑰的能力
CO 使用者可以定義一組屬性，以規範 CU 可執行的作業。 這些屬性包括限制 CU 包裝/解除包裝金鑰的功能，以及修改密鑰屬性或衍生密鑰。 這項限制有助於防止 CU 從 HSM 擷取私鑰數據。
您可以使用 setUserAttributes 命令來設定這些屬性。
限制密碼編譯官員對密碼編譯使用者的控制
如果您需要限制 CO 使用者存取 CU 的金鑰數據，則可以撤銷 CO 使用者的管理存取權。 例如，您可能想要防止 CO 使用者將金鑰標示為受信任，並使用該金鑰執行純文字匯出。
命令 disableUserAccess 藉由撤銷 CO 使用者對指定 CU 的存取權來達成這項限制。 不過，CO 使用者有可能會透過使用不含此限制的先前備份來繞過此措施。