Azure 中的加密和金鑰管理

加密是確保 Microsoft Azure 中資料隱私權、合規性和資料落地的重要步驟。 其也是許多企業最重要的安全性考量之一。 本節涵蓋加密和金鑰管理的設計考慮和建議。

設計考量

• 在套用至 Azure 金鑰保存庫時設定訂用帳戶和調整限制。

  金鑰保存庫具有金鑰和秘密的交易限制。 若要 將每個保存庫的交易 節流一段時間，請參閱 Azure 限制 。

  金鑰保存庫提供安全性界限，因為金鑰、秘密和憑證的存取權限位於保存庫層級。 金鑰保存庫存取原則指派會將許可權分別授與金鑰、秘密或憑證。 它們不支援更細微的物件層級許可權，例如特定金鑰、秘密或憑證 金鑰管理 。

• 視需要隔離應用程式特定和工作負載特定的秘密和共用秘密，以 控制存取 。

• 優化進階版需要 HSM 保護的 SKU（硬體安全性模組）金鑰。

  基礎 HSM 符合 FIPS 140-2 層級 2 規範。 考慮支援的案例，管理適用于 FIPS 140-2 層級 3 合規性的 Azure 專用 HSM。

• 管理金鑰輪替和秘密到期。

• 使用 金鑰保存庫憑證 來管理憑證採購和簽署。 設定警示、通知和自動憑證更新。

• 設定金鑰、憑證和秘密的災害復原需求。

• 設定金鑰保存庫服務複寫和容錯移轉功能。 設定 可用性和備援 。

• 監視金鑰、憑證和秘密使用方式。

  使用金鑰保存庫或 Azure 監視器 Log Analytics 工作區偵測未經授權的存取。 如需詳細資訊，請參閱 監視和警示 Azure 金鑰保存庫 。

• 委派金鑰保存庫具現化和特殊許可權存取權。 如需詳細資訊，請參閱 Azure Key Vault 安全性。

• 設定使用客戶自控金鑰進行原生加密機制的需求，例如Azure 儲存體加密：

  • 客戶管理的金鑰
  • 虛擬機器的神秘磁片加密（VM）
  • 傳輸中的資料加密
  • 待用資料加密

設計建議

• 使用同盟 Azure 金鑰保存庫模型來避免交易規模限制。

• Azure RBAC 是 Azure 金鑰保存庫 資料平面的建議授權系統。 如需詳細資訊，請參閱 Azure 角色型存取控制 （Azure RBAC） 與存取原則 （舊版）。

• 布建 Azure 金鑰保存庫已啟用虛刪除和清除原則，以允許已刪除物件的保留保護。

• 遵循最低許可權模型，將授許可權制為永久刪除金鑰、秘密和憑證，以特製化的自訂 Microsoft Entra 角色。

• 使用公用憑證授權單位單位自動化憑證管理和更新程式，以簡化管理。

• 建立金鑰和憑證輪替的自動化程式。

• 在保存庫上啟用防火牆和虛擬網路服務端點，以控制金鑰保存庫的存取。

• 使用平臺集中的 Azure 監視器 Log Analytics 工作區，稽核每個金鑰保存庫實例內的金鑰、憑證和秘密使用量。

• 委派金鑰保存庫具現化和特殊許可權存取，並使用Azure 原則來強制執行一致的相容設定。

• 預設為 Microsoft 管理的金鑰，以取得主體加密功能，並在必要時使用客戶管理的金鑰。

• 請勿針對應用程式金鑰或秘密使用金鑰保存庫的集中式實例。

• 為了避免跨環境共用秘密，請勿在應用程式之間共用金鑰保存庫實例。