18、授权规划与信息保护方案详解

授权规划与信息保护方案详解

在当今数字化时代，数据安全和访问控制至关重要。本文将详细介绍授权规划和信息保护的相关内容，包括硬件安全模块、Azure 权限管理的超级用户功能、模板设置、日志服务、信任关系等方面，还会涉及基本混合身份和访问管理解决方案的搭建。

硬件安全模块（HSM）

HSM 是一种物理设备，为 Azure RMS 及其他应用程序中的数字密钥提供了一个坚固、防篡改的管理和安全存储环境。在自带密钥（BYOK）场景中使用 HSM 与 Azure RMS 结合，有诸多考虑因素。微软要求仅使用泰雷兹（Thales）的 HSM 以确保符合其数据中心的合规性，并且在 Azure RMS 部署之初就需要使用 HSM。HSM 使组织能够在本地安全地管理其私钥。

以下是在 Azure RMS 部署中实施泰雷兹 HSM 的好处总结：
| 好处 | 描述 |
| — | — |
| 安全密钥存储 | HSM 为私钥存储提供防篡改环境，所有泰雷兹 HSM 均通过认证，符合最高安全标准。 |
| 合规性 | HSM 符合 FIPS 140 - 2 三级标准，这是企业和政府环境中广泛接受的硬件安全基准。 |
| 可扩展性 | 使用泰雷兹 HSM 进行密钥存储，允许 Azure RMS 环境在未来迁移时扩展到本地。微软在 Azure RMS 中仅使用泰雷兹 HSM 进行密钥存储，因此 Azure RMS 需要泰雷兹 HSM。 |

支持 BYOK 场景需要满足以下先决条件：
| 要求 | 详情 |
| — | — |
| 泰雷兹 HSM 及相关组件 | 仅泰雷兹 HSM 可用于 BYOK 场景，可使用泰