背景
Azure Cloud HSM 是一項符合 FIPS 140-3 Level 3 驗證標準的單一租戶服務，讓客戶擁有對硬體安全模組（HSM，Hardware Security Module，一種專用於安全儲存加密金鑰並執行加密運算的專用硬體）的完全管理權限。該服務透過虛擬網路中的私人端點提供高可用性叢集，每個叢集包含三個 HSM 節點，支援 PKCS#11、SSL/TLS 處理卸載、憑證授權中心私鑰保護以及透明資料加密（TDE）等應用。傳統上，企業依賴平台與應用程式日誌來監控 HSM 的管理活動，但受監管組織往往需要更貼近加密邊界的證據，以確保金鑰管理與配置變更的可信度。 官方原文・learn.microsoft.com Microsoft Azure Blog
發生什麼事
微軟於 10 月 29 日宣布推出 Azure Cloud HSM 的「硬體稽核日誌」（Hardware Audit Logging）功能。此功能旨在收集由 HSM 本身產生的稽核紀錄，涵蓋受支援的管理操作。這些紀錄可供安全、合規與維運團隊用於監控、合規報告及鑑識調查。該功能正逐步在 Azure Cloud HSM 的公開區域推出，並自動啟用給新佈建的 Azure Cloud HSM 資源。 Microsoft Azure Blog
重點內容
硬體稽核日誌捕捉廣泛的 HSM 管理活動，包括使用者認證與工作階段事件、使用者與管理員管理、政策與配置變更、金鑰生命週期操作，以及備份與還原活動。與傳統日誌不同，這些紀錄直接源自執行受保護操作的裝置，提供了與硬體綁定的證據。客戶可以存取人類可讀的稽核紀錄，以及對應的 HSM 簽章二進位稽核資料、簽章和 HSM 憑證。這些材料允許客戶獨立驗證簽章稽核批次（audit batches）的真實性與完整性，建立從監控紀錄回溯至 HSM 簽章證據的驗證路徑。 Microsoft Azure Blog
稽核日誌被設定為不可變的 HSM 分區政策（immutable HSM partition policy）。這種設計確保了對受支援管理活動的持續覆蓋，並降低了在例行 HSM 管理過程中意外停用日誌記錄的風險。對於將加密管理、安全監控與合規職責分離的組織而言，這種持續的硬體來源日誌記錄有助於 clearer oversight（更清晰的監督）。此外，稽核事件會傳送至 Azure Monitor Log Analytics，使客戶能將 HSM 管理活動整合到更廣泛的監控與安全作業工作流程中，包括 Microsoft Sentinel。 原文
對使用者的意義
此功能主要針對具有嚴格合規與安全要求的組織，如金融服務、支付處理、政府、關鍵基礎設施及其他高度監管行業。安全團隊可檢視認證與管理活動，合規團隊可將紀錄作為控制評估的證據，維運團隊則可調查可能影響受保護工作負載的配置或生命週期變更。例如，安全作業團隊可在相關 Azure 活動的背景下檢視意外的認證活動或政策更新；事件回應團隊可重建安全調查周圍的 HSM 管理事件順序。客戶需自行負責配置監控環境的存取權限、定義保留要求、建立警示與審查流程，以及決定如何在控制框架中使用稽核證據。 Microsoft Azure Blog
限制與未定事項
硬體稽核日誌目前正逐步在 Azure Cloud HSM 的公開區域推出，客戶應查閱當前的 Azure Cloud HSM 區域可用性與產品文件，以獲取最新的可用性細節與配置指南。此外，Azure Cloud HSM 僅支援基礎設施即服務（IaaS），不與其他平台即服務（PaaS）或軟體即服務（SaaS）Azure 服務整合。對於需要客戶管理金鑰加密的 Microsoft 雲端服務（如 Azure Information Protection、Azure Disk Encryption 等），官方建議使用 Azure Key Vault Managed HSM，而非 Azure Cloud HSM。 Microsoft Azure Blog 官方原文・learn.microsoft.com
