探索 Azure Key Vault

  • 3 分鐘

Azure Key Vault 服務支援兩種類型的容器：保存庫和受控硬體安全性模組（HSM） 集區。 保管庫支援儲存軟體、HSM 支援的金鑰、機密和憑證。 受控 HSM 集區僅支援由 HSM 支援的金鑰。

Azure Key Vault 可協助解決下列問題：

  • 秘密管理： Azure Key Vault 可用來安全地儲存及嚴格控制令牌、密碼、憑證、API 密鑰和其他秘密的存取

  • 金鑰管理： Azure Key Vault 也可用來作為密鑰管理解決方案。 Azure Key Vault 可讓您輕鬆地建立及控制用來加密數據的加密密鑰。

  • 憑證管理： Azure Key Vault 也是一項服務，可讓您輕鬆地布建、管理及部署公用和私人安全套接字層/傳輸層安全性 （SSL/TLS） 憑證，以搭配 Azure 和內部聯機資源使用。

Azure Key Vault 有兩個服務層級：標準，使用軟體密鑰加密，以及進階層，其中包括硬體安全性模組（HSM）保護的密鑰。 若要查看標準和進階層之間的比較，請參閱 Azure Key Vault 定價頁面。

使用 Azure Key Vault 的主要優點

  • 集中式應用程式秘密： 集中儲存 Azure Key Vault 中的應用程式秘密可讓您控制其散發。 例如，您可以安全地將連接字串儲存在 Key Vault 中，而不是將連接字串儲存在應用程式的程式代碼中。 您的應用程式可以使用 URI 安全地存取其所需的資訊。 這些 URI 可讓應用程式擷取特定版本的祕密。

  • 安全地儲存秘密和金鑰： 存取金鑰保存庫需要適當的驗證和授權，呼叫端（使用者或應用程式）才能取得存取權。 驗證會透過 Microsoft Entra ID 來完成。 授權可能透過 Azure 角色型存取控制 （Azure RBAC） 或 Key Vault 存取原則來完成。 Azure RBAC 可用於管理保存庫，以及存取儲存在保存庫中的數據。 只有在嘗試存取儲存在保存庫中的數據時，才能使用密鑰保存庫存取原則。 Azure Key Vault 可能受到軟體保護，或者使用 Azure Key Vault 進階層，以硬體安全性模組 （HSM） 保護硬體。

  • 監視存取和使用：您可以藉由啟用保存庫的記錄來監視活動。 您可以控制記錄，並藉由限制存取來保護記錄，您也可以刪除不再需要的記錄。 Azure Key Vault 的診斷日誌與指標可設定為：

    • 封存至記憶體帳戶。
    • 串流至事件中樞。
    • 將記錄傳送至 Azure 監控日誌。

  • 簡化的應用程式秘密管理： 安全性信息必須受到保護，它必須遵循生命週期，而且必須具有高可用性。 Azure Key Vault 可透過下列方式簡化符合這些需求的程式：

    • 消除對內部掌握硬體安全模組知識的需求
    • 在短時間內迅速擴展，以應對貴組織的使用量高峰。
    • 將區域內的 Key Vault 內容複寫到次要區域。 數據復寫可確保高可用性，並不需要系統管理員採取任何動作來觸發故障轉移。
    • 透過入口網站、Azure CLI 和 PowerShell 提供標準 Azure 系統管理選項。
    • 自動對向公開 CA 購買的憑證執行一些作業，例如註冊或續約。