常見問題集 (FAQ)

HSM 是用來保護及管理密碼編譯金鑰的實體運算裝置。 儲存在 HSM 中的金鑰可用於密碼編譯作業。 金鑰內容會安全地存放於可防止及杜絕竄改的硬體模組中。 HSM 只會允許經過驗證和已授權的應用程式使用金鑰。 金鑰原料永遠不會離開 HSM 保護界線。

Azure 專用硬體安全模組 (HSM) 是雲端式服務，可提供裝載於 Azure 資料中心 (直接連線至客戶虛擬網路) 的 HSM。 這些 HSM 是專用的 Thales Luna 7 HSM 網路設備。 它們會直接部署至客戶的私人 IP 位址空間，Microsoft 對於 HSM 的密碼編譯功能並沒有任何存取權。 只有客戶對這些裝置擁有完整的系統管理和密碼編譯控制權。 客戶需負責管理裝置，且可以直接從裝置取得完整的活動記錄。 專用 HSM 可協助客戶滿足法規/合規性需求，例如 FIPS 140-2 等級 3、HIPAA、PCI DSS、eIDAS 以及許多其他需求。

客戶必須擁有指派的 Microsoft 帳戶管理員，並符合 500 萬 ($5M) 美元或更高的整體認可 Azure 營收，以符合 Azure 專用 HSM 的上線和使用資格。

Microsoft 與 Thales 合作提供 Azure 專用 HSM 服務。 使用的特定裝置是 Thales Luna 7 HSM 型號 A790。 此裝置不只提供 FIPS 140-2 等級 3 驗證的韌體，也透過 10 個分割區提供低延遲、高效能和大容量服務。

HSM 可用於儲存密碼編譯金鑰，以供密碼編譯功能使用，例如 TLS (傳輸層安全性)、資料加密、PKI (公開金鑰基礎結構)、DRM (數位版權管理) 及文件簽署等。

客戶可以使用 PowerShell 或命令列介面將 HSM 佈建至特定區域。 客戶可指定 HSM 要連線到哪個虛擬網路，並且在佈建後，HSM 即可在客戶的私人 IP 位址空間中，位於指派 IP 位址處的指定子網路中使用。 接著，客戶可以使用 SSH 連線至 HSM 進行設備管理，以設定 HSM 用戶端連線、將 HSM 初始化、建立分割區、定義及指派角色 (例如分割區人員、密碼編譯人員及密碼編譯使用者)。 然後，客戶會使用 Thales 提供的 HSM 用戶端工具/SDK/軟體，從其應用程式執行密碼編譯作業。

由 Microsoft 佈建 HSM 後，Thales 會提供 HSM 裝置的所有軟體。 您可在 Thales 客戶支援入口網站取得軟體。 使用專用 HSM 服務的客戶必須註冊 Thales 支援，並具備可存取和下載相關軟體的客戶識別碼。 支援的用戶端軟體是 7.2 版，與 FIPS 140-2 等級 3 驗證韌體 7.0.3 版相容。

使用專用 HSM 服務時下列項目會產生額外的成本。

• 使用專用內部部署備份裝置與專用 HSM 服務一起使用是可行的，但會產生額外成本，且應直接向 Thales 購買。
• 專用 HSM 提供 10 個分割區授權。 客戶可以要求更多的分割區，並支付更多直接從 Thales 取得的授權費用。
• 專用 HSM 需要網路基礎結構 (虛擬網路、VPN 閘道等) 以及虛擬機器等資源，以進行裝置設定。 這些資源將會產生額外的費用，且不包含在專用 HSM 服務定價中。

否。 Azure 專用硬體安全模組 (HSM) 只對硬體安全模組 (HSM) 提供密碼型驗證。

否。 Azure 專用 HSM 服務不支援功能模組。

Microsoft 僅透過專用 HSM 服務提供 Thales Luna 7 HSM 型號 A790，而無法主控任何客戶提供的裝置。

Azure 專用 HSM 服務使用 Thales Luna 7 HSM。 這些裝置不支援付款 HSM 的特定功能 (例如 PIN 或 EFT) 或認證。 如果您希望 Azure 專用 HSM 服務未來支援付款 HSM，請將意見反應轉達給 Microsoft 客戶代表。

自 2022 年 10 月起，專用 HSM 可在 22 個區域中使用。 後續區域已在規劃中，您可以透過 Microsoft 客戶代表與我們討論。

• 美國東部
• 美國東部 2
• 美國西部
• 美國西部 2
• 加拿大東部
• 加拿大中部
• 美國中南部
• 東南亞
• 印度中部
• 印度南部
• 日本東部
• 日本西部
• 北歐
• 西歐
• 英國南部
• 英國西部
• 澳大利亞東部
• 澳大利亞東南部
• 瑞士北部
• 瑞士西部
• US Gov 維吉尼亞州
• US Gov 德克薩斯州

您將使用 Thales 提供的 HSM 用戶端工具/SDK/軟體，從應用程式執行密碼編譯作業。 您可在 Thales 客戶支援入口網站取得軟體。 使用專用 HSM 服務的客戶必須註冊 Thales 支援，並具備可存取和下載相關軟體的客戶識別碼。

是，您必須使用區域內的虛擬網路對等互連來建立虛擬網路之間的連線。 針對跨區域連線，您必須使用 VPN 閘道。

是，您可以透過專用 HSM 同步內部部署 HSM。 點對點 VPN 或點對站連線可用於透過您的內部部署網路建立連線。

否。 您只能從您的虛擬網路內存取 Azure 專用硬體安全模組 (HSM)。

是，如果您有內部部署 Thales Luna 7 HSM， 有數個方法可使用。 請參閱 Thales HSM 文件。

• Windows、Linux、Solaris、AIX、HP-UX、FreeBSD
• 虛擬：VMware、Hyper-V、Xen、KVM

若要具備高可用性，您需要將 HSM 用戶端應用程式設定設為使用每個 HSM 的分割區。 請參閱 Thales HSM 用戶端軟體文件。

Azure 專用 HSM 使用 Thales Luna 7 HSM 型號 A790 裝置，且其支援密碼型驗證。

PKCS #11、Java (JCA/JCE)、Microsoft CAPI 和 CNG、OpenSSL

是。 請洽詢您的 Thales 代表，以取得適當的 Thales 移轉指南。

否。 Azure 專用 HSM 服務不支援功能模組。

對於要遷移至使用 HSM 之 Azure 內部部署應用程式的企業來說，Azure 專用硬體安全模組 (HSM) 是適當的選擇。 專用 HSM 可讓您以最低限度的變更來遷移應用程式。 如果密碼編譯作業在執行 Azure VM 或 Web 應用程式的程式碼中執行，則這些作業可以使用專用 HSM。 一般情況下，在 IaaS (基礎結構即服務) 模型 (支援 HSM 作為金鑰存放區) 中執行的壓縮包裝軟體，可以使用專用 HSM，例如用於無金鑰 TLS 的流量管理員、ADCS (Active Directory 憑證服務) 或類似的 PKI 工具、用於文件簽署與程式碼簽署的工具/應用程式，或使用 EKM (可延伸金鑰管理) 提供者在 HSM 中使用主要金鑰設定 TDE (透明資料庫加密) 的 SQL Server (IaaS)。 Azure Key Vault 適用於「雲端原生」應用程式，或其他案例的加密,其中客戶資料由 Paas (平台即服務) 處理，或 SaaS (軟體即服務) 案例 (例如 Office 365 客戶金鑰、Azure 資訊保護、Azure 磁碟加密、使用客戶自控金鑰的 Azure Data Lake Store 加密、Azure 儲存體加密以及 Azure SQL)。

Azure 專用 HSM 最適合用來將內部部署應用程式移轉到已使用 HSM 的 Azure 的移轉案例，提供一種低摩擦方法，只需對應用程式進行最少的變更即可移轉到 Azure。 如果密碼編譯作業在執行 Azure VM 或 Web 應用程式的程式碼中執行，則可以使用專用 HSM。 一般情況下，在 IaaS (基礎結構即服務) 模型 (支援 HSM 作為金鑰存放區) 中執行的壓縮封裝軟體，可以使用專用 HSM，例如：

• 用於無金鑰 TLS 的流量管理員
• ADCS (Active Directory 憑證服務)
• 類似的 PKI 工具
• 用於簽署文件的工具/應用程式
• 程式碼簽署
• 使用 EKM (可延伸金鑰管理) 提供者之 HSM 中的主要金鑰，以 TDE (透明資料庫加密) 設定的 SQL Server (IaaS)

否。 專用 HSM 直接佈建於客戶的私人 IP 位址空間，因此無法由其他 Azure 或 Microsoft 服務存取。

是。 每個 HSM 裝置都由單一客戶完全專用，一旦佈建並變更系統管理員密碼之後，即沒有任何其他人具有管理控制權。

Microsoft 對您的 HSM 並沒有任何管理或密碼編譯控制權。 Microsoft 可以透過序列埠連線來監視層級存取，以擷取溫度和元件健康情況等基本遙測資料，讓 Microsoft 主動提供健康情況問題的通知。 如有需要，客戶可以停用此帳戶。

HSM 裝置隨附預設的管理使用者與一般的預設密碼。 當任何裝置在集區中等待客戶佈建時，Microsoft 不想使用預設密碼。 這麼做不符合嚴格的安全性需求。 基於這個理由，我們會設定強式密碼，並在佈建時捨棄該密碼。 此外，在佈建期間，我們會建立新的使用者，並賦與其「租用戶管理員」的系統管理員角色。 「租用戶系統管理員」使用者具有預設密碼，客戶在第一次登入新佈建的裝置時首先要變更該密碼。 此程序可確保高度的安全性，並實踐我們給予客戶全權管理控制的承諾。 請注意，如果客戶偏好使用該帳戶，則可以使用「租用戶管理員」使用者來重設管理使用者密碼。

否。 對於儲存在客戶配置專用 HSM 中的金鑰，Microsoft 並不具有任何存取權。

否。 Azure 專用 HSM 是租用服務的裸機 HSM。 我們的服務不會儲存客戶資料。 所有金鑰資料和資料都會儲存在客戶 HSM 設備內。 每個 HSM 設備完全專用於單一客戶，他們對此設備擁有完全的系統管理控制權。

如需不同韌體版本的特定功能，客戶可全權管理控制，包括升級軟體/韌體。 進行變更之前，請先洽詢 Thales 支援人員以了解您的軟體/韌體升級案例。

您可以使用 SSH 來存取專用 HSM，以便對其進行管理。

您可以使用 Thales HSM 用戶端軟體來管理 HSM 和分割區。

客戶可透過 syslog 和 SNMP 完整存取 HSM 的活動記錄。 客戶必須設定 syslog 伺服器或 SNMP 伺服器，以取得 HSM 中的記錄或事件。

是。 您可以將 HSM 設備的記錄傳送至 Syslog 伺服器

是。 Thales 提供的 HSM 用戶端軟體會執行高可用性設定及安裝。 來自相同虛擬網路或同一區域或跨區域中的其他 VNET 的 HSM，或使用站對站或點對點 VPN 連線到虛擬網路的內部部署 HSM 可以新增至相同的高可用性設定。 請注意，這只會同步處理金鑰內容，而非特定設定項目 (例如角色)。

是。 您的 HSM 必須符合 Thales Luna 7 HSM 的高可用性需求

否。

有十六個 HA 群組成員已執行完整節流測試，且結果優異。

專用 HSM 服務並未提供特定的執行時間保證。 Microsoft 會確保裝置的網路層級存取，因此會套用標準 Azure 網路 SLA。

Azure 資料中心具有大量的實體和程序安全性控制。 此外，專用 HSM 裝載於資料中心內更嚴格限制存取權的區域中。 這些區域具有其他的實體存取控制和攝影機監視，以提高安全性。

專用 HSM 服務使用 Thales Luna 7 HSM 設備。 這些設備支援實體和邏輯的竄改偵測。 如果在任何時候發生竄改事件，這些 HSM 會自動歸零。

強烈建議使用內部部署 HSM 備份裝置來執行 HSM 的一般定期備份，以便用於災害復原。 您必須對連線至 HSM 備份裝置的內部部署工作站使用對等或站對站 VPN 連線。

Microsoft 和 Thales 都提供支援。 如果您有硬體或網路存取的問題，請向 Microsoft 提出支援要求；如果您有 HSM 設定、軟體和應用程式開發的問題，請向 Thales 提出支援要求。 如果您不確定問題的性質，請向 Microsoft 提出支援要求，Thales 也會在必要情況下參與支援。

註冊服務後，您將收到一個 Thales 客戶識別碼，可用於在 Thales 客戶支援入口網站中註冊，進而可以直接透過 Thales 存取所有軟體和文件以及支援要求。

Microsoft 無法連線至配置給客戶的 HSM。 客戶必須自行升級與修補其 HSM。

HSM 有命令列重新啟動選項，不過，重新啟動會發生間歇性停止回應此項問題，因此建議的最安全重新啟動方法，是向 Microsoft 提出支援要求，由 Microsoft 實際重新啟動裝置。

專用 HSM 會佈建 Thales Luna 7 HSM，其已通過 FIPS 140-2 層級 3 驗證，安全無虞。

專用 HSM 服務會佈建 Thales Luna 7 HSM 設備。 這些設備支援各種不同密碼編譯金鑰的類型和演算法，包括完整的 Suite B 支援

• 非對稱：
  • RSA
  • DSA
  • Diffie-Hellman
  • 橢圓曲線
  • 使用具名、使用者定義和 Brainpool 曲線、KCDSA 的密碼編譯 (ECDSA、ECDH、Ed25519、ECIES)
• 對稱：
  • AES-GCM
  • 三重 DES
  • DES
  • ARIA，種子
  • RC2
  • RC4
  • RC5
  • CAST
  • 雜湊/訊息摘要/HMAC：SHA-1、SHA-2、SM3
  • 金鑰衍生：SP 800-108 計數器模式
  • 金鑰包裝：SP 800-38F
  • 亂數產生：FIPS 140-2 已核准 DRBG (SP 800-90 CTR 模式)，遵守 BSI DRG.4

是。 專用 HSM 服務會佈建 Thales Luna 7 HSM 型號 A790 設備，其已通過 FIPS 140-2 等級 3 驗證。

專用 HSM 服務會佈建 Thales Luna 7 HSM 設備。 這些裝置都是已通過 FIPS 140-2 等級 3 驗證的 HSM。 預設部署設定、作業系統和韌體也已通過 FIPS 驗證。 您不需要為 FIPS 140-2 等級 3 的合規性採取任何動作。

在要求取消佈建前，客戶必須先使用 Thales 提供的 HSM 用戶端工具，將 HSM 歸零。

專用 HSM 會佈建 Thales Luna 7 HSM。 以下是針對某些作業的最大效能摘要：

• RSA 2048：每秒 10,000 筆交易
• ECC P256：每秒 20,000 筆交易
• AES-GCM：每秒 17,000 筆交易

您使用的 Thales Luna 7 HSM 型號 A790 服務成本中包含 10 個分割區授權。 裝置的限制為 100 個分割區，若要新增超過此限制的分割區會產生額外的授權成本，且必須在裝置上安裝新的授權檔案。

金鑰數量上限是可用記憶體的其中一種功能。 使用中的 Thales Luna 7 型號 A790 有 32 MB 的記憶體。 如果使用非對稱金鑰，下列數目也適用於金鑰組。

• RSA-2048 - 19,000
• ECC-P256 - 91,000

容量會根據金鑰產生範本中設定的特定金鑰屬性和分割區數而有所不同。