Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Eine effektive Benutzerverwaltung ist entscheidend für die Aufrechterhaltung der Sicherheit und Integrität von Azure Cloud HSM. In diesem Artikel werden bewährte Methoden zum Verwalten von Benutzeridentitäten, zum Sichern von Anmeldeinformationen, zur Implementierung von Redundanz und zum Einschränken von Benutzerberechtigungen beschrieben, um die Sicherheit zu verbessern und nicht autorisierte access zu verhindern.
Einrichten einer vom Benutzer verwalteten Identität
Sie können eine vom Benutzer zugewiesene verwaltete Identität für Azure Cloud HSM einrichten. Eine verwaltete Identität für Azure Cloud HSM ist speziell auf Benutzersicherungs- und Wiederherstellungsvorgänge zugeschnitten.
Eine verwaltete Identität erleichtert das Übertragen von Cloud HSM-Sicherungen auf ein Speicherkonto. Es ermöglicht außerdem BcDR-Szenarien (Business Continuity and Disaster Recovery), einschließlich der Bereitstellung neuer Cloud HSM-Instanzen aus vorhandenen Sicherungen. Diese Einrichtung ist wichtig für Kunden, die access zu ihren Sicherungen benötigen, und die Möglichkeit, Wiederherstellungsvorgänge unabhängig auszuführen, um BCDR-Anforderungen zu erfüllen.
Es wird empfohlen, eine vom Benutzer zugewiesene verwaltete Identität für Azure Virtual Machines (VMs) zu übernehmen, indem Sie eines der folgenden Elemente verwenden:
- Das Azure Cloud HSM SDK (z. B. der Cloud HSM-Client)
- VMs, auf denen administrative Aktionen ausgeführt werden
- Anwendungen, die auf Ressourcen eines Hardware-Sicherheitsmoduls (HSM) zugreifen
Dieser Ansatz verbessert die Sicherheit, vereinfacht die Verwaltung, trägt zur Gewährleistung der Skalierbarkeit und zur Erfüllung von Complianceanforderungen bei. Es stellt eine sichere und nachverfolgbare Methode zum Verwalten administrativen Zugriffs für Azure VMs bereit.
Sichere Kennwörter verwenden
Es wird empfohlen, eindeutige, sichere Kennwörter zu erstellen. Azure Cloud HSM hat eine Mindestpasswortlänge von 8 Zeichen und eine maximale Länge von 32 Zeichen. Es wird empfohlen, ein Kennwort mit mindestens 12 Zeichen zu verwenden.
Integrieren Sie eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Vermeiden Sie häufige Wörter und persönliche Informationen. Erwägen Sie die Verwendung eines zufälligen Ausdrucks oder Satzes, der für Sie leicht zu merken ist, aber für andere schwer zu erraten ist.
Sichern Ihrer HSM-Benutzeranmeldeinformationen
Der Schutz Ihrer HSM-Benutzeranmeldeinformationen ist von größter Bedeutung, da diese Anmeldeinformationen access zum Ausführen von kryptografischen und Verwaltungsvorgängen auf Ihrem HSM gewähren.
Azure Cloud HSM speichert Ihre HSM-Benutzeranmeldeinformationen nicht. Wenn Sie access an Ihre Anmeldeinformationen verlieren, kann Microsoft nicht helfen.
Stellen Sie sicher, dass Ihre HSM-Benutzer auf allen Knoten Ihres Clusters verfügbar sind.
Wenn Sie einen Benutzer erstellen, wird der Benutzer auf allen drei Knoten des Cloud HSM-Clusters erstellt, wenn alle Knoten verfügbar sind. Im Gegensatz zu Schlüsseln führt Azure Cloud HSM-Dienst jedoch keine Back-End-Benutzersynchronisierung durch. Die Benutzerverwaltung wird vollständig vom Kunden verwaltet.
Vorsicht
Wenn ein Benutzer nur auf einem Knoten vorhanden ist und dieser Knoten fehlschlägt, können Sie ohne Wiederherstellungsoption dauerhaft gesperrt werden. Stellen Sie immer sicher, dass Benutzer über alle Knoten hinweg synchronisiert werden.
Wenn die Benutzererstellung auf einem oder mehreren Knoten fehlschlägt (z. B. weil ein Knoten nicht verfügbar ist), müssen Sie den Benutzer auf den fehlenden Knoten neu erstellen, nachdem er wiederhergestellt wurde und wieder fehlerfrei ist. Führen Sie dazu den Befehl zum Erstellen des Benutzers mit denselben Anmeldeinformationen erneut aus, um eine Aktualisierung fehlender Knoten zu erzwingen. Melden Sie sich nach dem Erneuten Erstellen des Benutzers als dieser Kryptografiebenutzer (CU) an, und bestätigen Sie die Verbindung mit allen drei Clusterknoten.
Informationen zu Benutzererstellungsbefehlen finden Sie im Handbuch zum Cloud HSM-Onboarding in Azure.For information on user creation commands, see the Azure Cloud HSM onboarding guide. Ausführliche Schritte zum Identifizieren und Synchronisieren fehlender Benutzer finden Sie unter Synchronisieren von Benutzern und Schlüsseln über Azure Cloud HSM-Knoten.
Implementieren von sekundären Administratoren zur Sperrungsverhinderung
Um das Risiko einer HSM-Sperrung zu verhindern, empfehlen wir Ihnen, mindestens zwei Administratoren für die Kontinuität festzulegen. Wenn ein Administratorkennwort verloren geht, kann der andere Administrator es zurücksetzen.
Einrichten mehrerer Kryptografiebenutzer mit eingeschränkten Berechtigungen
Wenn Die Verantwortlichkeiten zwischen Kryptografiebenutzern (CUs) verteilt werden, hat kein einzelner Benutzer absolute Kontrolle über das gesamte System. Sie sollten mehrere CUs erstellen und die Berechtigungen der einzelnen entsprechend einschränken. Diese Aufgabe umfasst häufig das Zuweisen unterschiedlicher Zuständigkeiten und Aktionen zu CUs.
Beispielsweise kann ein CU mit dem Generieren und Verteilen von Schlüsseln beauftragt werden, während andere diese Schlüssel in Ihrer Anwendung verwenden.
Einrichten der Schlüsselteilung für mehrere Benutzer der Kryptografie
Schlüssel können mit anderen CUs geteilt werden. Der ursprüngliche Besitzer des Schlüssels kann ihn jedoch nur umschließen. Zusätzliche Benutzer können den Schlüssel verwenden, aber keinen Nur-Text-Export ausführen, auch wenn sie access zu einem Schlüssel haben, den der Kryptografiebeauftragte (CO)-Benutzer als TRUSTED markiert hat.
Einschränken der Fähigkeit von Kryptografiebenutzern zum Exportieren von Schlüsseln
Der CO-Benutzer kann einen Satz von Attributen definieren, um die Vorgänge zu regeln, die ein CU ausführen kann. Diese Attribute umfassen das Einschränken der CU-Funktion zum Ver- und Entschlüsseln von Schlüsseln sowie zum Ändern von Schlüsselattributen oder Ableiten von Schlüsseln. Diese Einschränkung verhindert, dass das CU private Schlüsselmaterial aus dem HSM extrahiert.
Sie können den Befehl verwenden, um diese Attribute zu konfigurieren.
Einschränken der Kryptografiebeauftragten-Kontrolle über Kryptografiebenutzer
Wenn Sie verhindern müssen, dass CO-Benutzer auf das Schlüsselmaterial eines CU zugreifen, ist es möglich, den Verwaltungszugriff eines CO-Benutzers zu widerrufen. Sie können z. B. verhindern, dass ein CO-Benutzer einen Schlüssel als vertrauenswürdig markiert und einen Nur-Text-Export mithilfe dieses Schlüssels ausführt.
Der Befehl disableUserAccess erreicht diese Beschränkung, indem der Zugriff eines CO-Benutzers auf das angegebene CU widerrufen wird. Ein CO-Benutzer könnte diese Maßnahme jedoch möglicherweise umgehen, indem ein früheres Backup verwendet wird, in dem diese Einschränkung nicht vorhanden ist.