azure - Azure KeyVault：如何判断密钥是否受 HSM 保护

Question

我有一个密钥保管库，几个月前我创建并导入了密钥。我根据文档创建了具有高级 SKU的保管库，以启用 Key Vault 对 HSM 的使用。我还将设置目标 = 的密钥导入到 HSM

Add-AzureKeyVaultKey -VaultName 'ContosoKeyVaultHSM' -Name 'ContosoFirstHSMKey' -Destination 'HSM'

现在，我被要求验证密钥实际上是否受到硬件保护，但我无法找到任何过于令人信服的属性来告诉我这一点。如果我运行： Get-AzureKeyVaultKey -VaultName "Contoso" -KeyName "ITPfx"

我可以在 JSON "kty: RSA-HSM" 中看到软件保护密钥的 kty 值只是 RSA。这是我可以看到的硬件和软件保护密钥之间的唯一区别。

这真的是判断密钥是否在密钥保管库的 HSM 中的唯一方法吗？

还是有更直观的方法来确定这一点？

Answer 1

使用 PowerShell，这是我用来识别密钥是否受软件或 hsm 保护的代码：

$keyInVault = Get-AzureKeyVaultKey -VaultName $keyVaultName -Name $keyName
$keyInVault.Key.Kty

输出将类似于：

RSA-HSM

所以，是的，使用 JSON 通常是唯一的方法。