保護數據備份：微軟Azure密鑰保管庫來護航
通過對加密密鑰的存儲管理，Azure密鑰保管庫可以用作數據備份保護。讓我們來探討一下組織應該如何建立并管理該密鑰庫。
數據存儲管理員總是竭盡全力的保護網絡服務器及其內容，防范各類安全隱患。對于備份我們也必須給于同樣的重視，以確保它們不會成為一個安全性漏洞。畢竟，備份本質上是一個組織數據的副本，但卻處在數據通常所在的服務器的保護界限之外。
保護備份最簡單的方法之一是加密。但是，如果沒有周密的計劃，備份加密有可能會導致數據丟失。這里就需要用到微軟的Azure密鑰保管庫。
備份加密使用加密密鑰。在某個備份設備例如磁帶上可能會有一個軟件或硬件級別的密鑰。在任何情況下，加密的備份如果沒有加密密鑰就無法解密。想象這樣一種情況，一個組織創建了一系列的基于磁帶的加密備份，將他們送去異地保管，然后大火很不幸的燒毀了該組織的數據中心。然而，當該組織取回其備份磁帶，想要恢復數據時，它必須有加密密鑰的副本才能對數據進行解密，而這通常不會存在于備份磁帶上。如果他們沒有密鑰，該組織則最終失去的數據量，就跟數據從未被備份所損失的一樣多。
微軟Azure密鑰保管庫存儲加密密鑰
Azure密鑰保管庫是一個基于云的服務，專門用來存儲加密密鑰和其他加密信息，如SQL Server的連接字符串和密碼。它主要是使用聯邦信息處理標準驗證的硬件安全模塊來實現的。
HSM是存儲并保護加密密鑰的物理設備。它們通常是一塊連接到網絡服務器的擴展卡或外設。雖然HSM并不是什么新的東西，但直到最近幾年，微軟才讓基于云的HSM變為可能。
我們必須了解，微軟Azure密鑰庫不僅僅存儲加密密鑰的備份副本，同時也管理應用對于某個密鑰的訪問權限。這使得Azure密鑰庫可以安全地在云中存儲密鑰，并防止密鑰和其它加密信息的對外暴露。
設置Azure秘鑰保管庫
每個微軟Azure的客戶都可以創建一個專用的密鑰庫。由于組織擁有該Azure密鑰庫，所以對密鑰庫的使用就有著完全的控制。但是，創建一個密鑰庫僅僅是***步。管理員必須讓秘鑰庫能夠完全配合備份應用。不幸的是，這里沒有標準的方法來做到，因為每一個應用都是不同的。
讓備份應用使用微軟Azure密鑰庫，管理員必須先在微軟Azure活動目錄中注冊該應用，然后使用Set-AzureRmKeyVaultAccessPolicy的cmdlet來授權該應用使用密鑰庫。
在大多數情況下，其他的IT人員 - 如備份操作員 - 需要被授權才能使用Azure密鑰庫。舉個例子，存儲管理員可能需要授予IT人員添加密鑰到庫中的權限。Set-AzureRmKeyVaultAccessPolicy的cmdlet可用于執行此任務。
訪問策略配置好之后，我們必須設置備份應用來使用Azure密鑰保管庫。你需要使用Add-AzureKeyVaultKey的cmdlet來添加密鑰到庫中。如果備份應用使用其他類型的密文，你可以使用Set-AzureKeyVaultSecret的cmdlet來設置。無論這兩種情況的哪一種，Azure都將提供對應于該密鑰或密文的統一資源標識符。想要使用密鑰庫及其中的密鑰，應用必須提供用戶將密鑰的URI添加到應用配置中的方式。
微軟讓一個Azure密鑰庫的建立以及增加新的密鑰和密文到密鑰庫的任務變得相對容易。盡管硬件安全模塊可以在本地使用，但這些裝置往往是頗為昂貴的，而微軟的Azure密鑰保管庫也許是個較為便宜的選擇。
