開始使用 Key Vault

為開發人員實作 Azure 安全性

Anushika Agarwal

Cloud Data Engineer

硬編碼機密的風險

• 把機密寫進程式碼會：
  1. 難以輪替
  2. 難以追蹤

解方：Azure Key Vault

• 敏感項目 的安全集中儲存
• 由 Azure 全面代管與防護

為何使用 Key Vault？

• 由 Azure 代管
• 隨你的應用 彈性擴展
• CI/CD 整合

Key Vault 可儲存哪些項目？

1. Secrets（機密）
2. Certificates（憑證）
3. Keys（金鑰）

機密（Secrets）

• 可儲存：API keys、密碼、連線字串

• 避免將敏感資料硬編碼

• 具加密、版本控管與存取控制

• 輪替 與安全 管理 更容易

範例：PeopleSphere 的機密

• 薪資資料庫密碼存於 Key Vault

• 比寫在應用程式裡更安全

憑證（Certificates）

• 應用程式的數位身分

• 向使用者與服務證明 應用身分

• 自動 續約 與 生命週期管理

範例：PeopleSphere 的憑證

• HR 入口網站憑證存於 Key Vault

• 與薪資處理方建立可信連線

金鑰（Keys）

金鑰 = 密碼學工具

• 用於 加密 與 解密 敏感資料

• 簽章 與 驗證 權杖與文件

• 定期 輪替

範例：PeopleSphere 的金鑰

• 保護員工紀錄用的加密金鑰

Key Vault 層級與儲存選項

• 依安全需求有兩種選擇：
  1. Standard Key Vault
  2. Managed HSM Pools

Standard Key Vault

• 多租戶、軟體代管服務

• 支援：
  • 機密（Secrets）
  • 軟體保護金鑰
  • 硬體保護金鑰
    • ((HSM 支援，FIPS 140-2 Level 2))

• 適用：
  • 多數商業情境
  • 例如：Web 應用、API、雲端設定

• 定價：按次計費

Managed HSM 集區

• 專用、單一租戶 硬體

• 支援：
  • 硬體保護金鑰
    • (FIPS 140-2 Level 3)

• 適用：高安全與高法遵工作負載

• 定價：固定時費 + 使用量費用

一起來練習吧！

為開發人員實作 Azure 安全性