摘要

今日，微软作为Azure软件开发工具包（SDK）的一部分，发布了Azure密钥库库和Azure身份库的新版本，其中包含深度防御功能改进。我们还发布了最佳实践指南，以帮助保护允许外部可控输入到Azure密钥库客户端URI进行处理的应用程序和服务。虽然使用Azure SDK库的大多数应用程序是安全的，但如果未正确验证URI，接受用户提供的密钥库或托管HSM资源URI的应用程序可能会面临认证信息泄露的风险。

建议客户行动

所有客户都应采取行动，更新到最新的Azure密钥库库和Azure身份库，以获取深度防御功能更新。

此外，客户应验证接受用户提供（可能不受信任）URI用于客户拥有的Azure密钥库或Azure托管HSM的应用程序是否遵循技术博客中概述的最佳实践。示例包括但不限于：

• 用于静态加密密钥的URI，通常称为自定义托管密钥（CMK）。
• 用于配置应用程序的密钥URI，包括API密钥、连接字符串等。

其他参考

• Azure密钥库库技术博客
• Azure身份库技术博客
• 有问题？通过Azure门户在aka.ms/azsupt提交支持案例