Azure IoT 中樞提供中央訊息中樞，可在 IoT 應用程式與其管理的裝置之間進行雙向通訊。 部署此服務時，請務必遵循安全性最佳做法來保護資料、組態和基礎結構。
本文提供如何以最佳方式保護 Azure IoT 中樞部署的指引。 如果您也使用其他 Azure IoT 服務，請參閱 保護您的 IoT 解決方案。
網路安全性
保護對 IoT 中樞的網路存取對於防止未經授權的存取並保護裝置與雲端之間流動的資料至關重要。
啟用私人端點：使用 Azure Private Link 透過虛擬網路路由流量，以消除公用因特網暴露，讓裝置連線到您的 IoT 中樞，而不需要公開公用因特網。 請參閱 IoT 中樞支援具有 Azure Private Link 的虛擬網路。
停用公用網路存取：當您可以使用私人端點時，停用公用端點，以防止從公用網際網路直接存取。 請參閱 管理 IoT 中樞的公用網路存取。
設定 IP 篩選：僅允許特定 IP 位址或範圍，以限制與 IoT 中樞的連線，以限制潛在攻擊的暴露。 請參閱 IoT 中樞 IP 篩選。
強制執行 TLS 1.2 和強式密碼套件：透過強制對所有裝置和服務連線使用 TLS 1.2 和建議的密碼套件來加強連線安全性。 請參閱 IoT 中樞中的傳輸層安全性 （TLS） 支援。
身分識別與存取權管理
適當的身分識別和存取管理對於控制誰可以管理您的 IoT 中樞以及裝置如何向其進行驗證至關重要。
使用 Microsoft Entra ID 驗證：實作 Microsoft Entra ID （先前稱為 Azure AD） 來驗證和授權服務 API 要求，啟用比共用存取原則更精細的存取控制。 請參閱使用 Azure Active Directory 控制 IoT 中樞的存取。
實作 Azure RBAC 以取得細微的權限：將最低許可權角色型存取控制指派給存取 IoT 中樞管理 API 的使用者和應用程式，以降低未經授權作業的風險。 請參閱 使用 Azure RBAC 角色指派來管理 IoT 中樞的存取權。
使用 X.509 憑證進行裝置驗證：在生產環境中實作 X.509 憑證型驗證，而不是 SAS 權杖，以提高安全性並實現更好的憑證管理。 請參閱使用 X.509 憑證驗證身分。
避免跨裝置共用對稱金鑰：為每個裝置分配唯一的憑證，以防止單一金鑰外洩時發生廣泛損害，從而限制潛在憑證暴露的影響。 請參閱 裝置製造商的安全性做法。
不需要時停用共用存取原則：使用 Microsoft Entra ID 進行驗證時，停用共用存取原則和權杖，以減少受攻擊面。 請參閱 強制執行 Microsoft Entra 驗證。
資料保護
保護傳輸中和靜態資料對於維護物聯網解決方案的機密性和完整性至關重要。
使用硬體安全模組進行裝置機密：將裝置憑證和私鑰儲存在硬體安全模組（HSM）中，以防止提取和篡改，增強身份驗證憑證的安全性。 請參閱 硬體安全模組。
實作裝置層級資料加密：在傳輸至 IoT 中樞之前，先加密裝置上的敏感性資料，以新增 TLS 以外的額外保護層，特別是針對高度敏感的資訊。 除了在傳輸至 IoT 中樞之前加密裝置上的敏感性資料之外，請確定儲存在 Azure IoT 可設定狀態元件中的任何資料 （例如裝置對應項） 也會加密。 這適用於裝置對雲端和雲端對裝置通訊。 請參閱 透過標準加密演算法保護待用資料。
使用最新的 SDK 版本：請確定您使用的是最新的 IoT 中樞裝置 SDK，這些 SDK 會實作各種安全性功能，包括加密和驗證。 請參閱 Azure IoT SDK。
保持根 CA 憑證更新：定期更新裝置上的受信任根憑證以維護安全的 TLS 連接，避免因憑證過期或吊銷而導致連線失敗。 請參閱 IoT 中樞 TLS 支援。
記錄和監視
全面的日誌記錄和監控對於檢測和響應物聯網解決方案中的潛在安全問題至關重要。
啟用連線和裝置遙測的資源記錄：設定診斷設定，將 IoT 中樞資源記錄傳送至 Azure 監視器記錄，以追蹤連線嘗試、錯誤和作業，以進行安全性調查。 請參閱 監視和診斷 IoT 中樞中的問題。
設置連接問題的警報： 根據指標和日誌創建警報，以檢測異常模式，如重複身份驗證失敗或意外斷開連接，可能表明安全問題。 請參閱 監視、診斷和疑難排解 Azure IoT 中樞裝置連線。
啟用適用於 IoT 的 Microsoft Defender：在您的 IoT 中樞上啟用適用於 IoT 的 Microsoft Defender，以取得針對您的 IoT 解決方案的潛在威脅的即時安全性監視、建議和警示。 請參閱 快速入門：在 Azure IoT 中樞上啟用適用於 IoT 的 Microsoft Defender。
監控設備 SDK 版本： 追蹤連接設備使用的 SDK 版本，以確保它們使用安全且 up-to的版本，其中包含最新的安全補丁。 請參閱 監視 Azure IoT 中樞。
合規性與控管要求
建立適當的治理並確保遵守安全標準是維護安全物聯網解決方案的關鍵方面。
套用適用於 IoT 中樞的 Azure 原則：實作 Azure 原則，以跨 IoT 中樞強制執行和稽核安全性設定，確保維護一致的安全性標準。 請參閱 Azure IoT 中樞的 Azure 原則內建定義。
定期審核存取權限：定期審查和驗證授予使用者、應用程式和裝置的存取權限，以確保它們遵守最小權限原則。 請參閱身分識別管理最佳實務。
啟用稽核的診斷設定：設定診斷設定，以擷取和封存 IoT 中樞的稽核記錄，以支援安全性調查和合規性需求。 請參閱 應該啟用 IoT 中樞中的資源記錄。
實施網路微分段：透過實施網路微分段，將物聯網設備與其他組織資源邏輯分離，限制安全事件的潛在爆炸半徑。 請參閱 網路分段。
裝置安全性
保護連線到 IoT 中樞的裝置對於 IoT 解決方案的整體安全性至關重要。
使用可續約的裝置認證：實作定期更新裝置認證的程式，例如滾動 X.509 憑證，以限制身分驗證受損的影響。 請參閱 如何滾動 X.509 裝置憑證。
在裝置上部署更新代理程式：確保裝置具有用於接收和應用安全性更新的更新代理程式，從而在整個裝置生命週期中保持韌體和軟體的安全。 請參閱 IoT 中樞的裝置更新。
實作安全裝置佈建：使用 Azure IoT 中樞裝置佈建服務 （DPS） ，透過適當的驗證機制大規模進行安全、零接觸的裝置佈建。 請參閱 IoT 中樞裝置布建服務。
使用可信任平台模組：部署具有基於硬體的安全功能（如可信任平台模組 （TPM））的設備，為加密金鑰提供安全儲存並防止實體篡改。 請參閱 TPM 證明。
撤銷遭入侵裝置的存取權：實作程序，以快速撤銷顯示遭入侵跡象的裝置的存取權，防止它們連線到您的 IoT 中樞，並可能影響其他裝置。 請參閱如何 撤銷裝置存取權。