# Azure Cloud HSM Hardware Audit Logging มาแล้ว บันทึกการจัดการ HSM ที่ HSM เซ็นรับรองเอง

> Microsoft เปิด Azure Cloud HSM Hardware Audit Logging เมื่อ 29 ต.ค. 2026 ให้ HSM สร้างบันทึกการจัดการเอง เซ็นเป็นชุด ส่งเข้า Log Analytics และตรวจสอบเองได้

- ประเภท: ข่าว · หมวด: Cloud
- เผยแพร่: 2026-11-02T17:51:00.000Z · อัปเดต: 2026-11-02T17:51:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/azure-cloud-hsm-hardware-audit-logging-signed-audit-trail/

## สรุปประเด็นสำคัญ

- Microsoft ประกาศเมื่อ **29 ตุลาคม 2026** ว่า Azure Cloud HSM มี Hardware Audit Logging ซึ่งเก็บบันทึกที่ **ตัว HSM สร้างเอง** สำหรับการจัดการที่รองรับ ไม่ใช่แค่บันทึกจากแพลตฟอร์ม
- บันทึกครอบคลุม **5** กลุ่มกิจกรรม ได้แก่ การยืนยันตัวตนและเซสชัน การจัดการผู้ใช้และผู้ดูแล การเปลี่ยนนโยบายและค่าตั้ง วงจรชีวิตของกุญแจ และการสำรองกับกู้คืน
- ลูกค้าได้ทั้งบันทึกที่อ่านได้ ข้อมูลไบนารีที่ HSM เซ็นรับรอง ลายเซ็น และใบรับรองของ HSM เพื่อ **ตรวจสอบความถูกต้องด้วยตัวเอง** แยกจากระบบ log ได้
- การบันทึกเปิดเป็น **นโยบายถาวร** ของพาร์ทิชัน HSM จึงลดความเสี่ยงที่ใครสักคนปิด log ระหว่างงานดูแลปกติ ส่วนเอกสารกำหนดให้ Log Analytics workspace เก็บข้อมูลอย่างน้อย **30 วัน**
- ฟีเจอร์กำลังทยอยเปิดใน Region สาธารณะของ Azure Cloud HSM และเปิดอัตโนมัติกับ HSM ที่สร้างใหม่ ทั้งนี้ Microsoft ให้ลูกค้าตรวจรายชื่อ Region ที่รองรับเอง

Microsoft ประกาศเมื่อวันที่ 29 ตุลาคม 2026 ว่า Azure Cloud HSM มี Hardware Audit Logging แล้ว Azure Cloud HSM Hardware Audit Logging เก็บบันทึกการจัดการ HSM ที่ตัวอุปกรณ์สร้างขึ้นเอง ส่งเข้า Azure Monitor Log Analytics และให้ลูกค้าตรวจสอบลายเซ็นของแต่ละชุดบันทึกได้ด้วยตัวเอง เหมาะกับองค์กรที่ต้องแสดงหลักฐานว่าใครทำอะไรกับกุญแจ ตั้งแต่ธนาคาร ผู้ให้บริการชำระเงิน ไปจนถึงหน่วยงานรัฐ

HSM (Hardware Security Module) คืออุปกรณ์เก็บและใช้กุญแจเข้ารหัสในกล่องที่ออกแบบให้กุญแจไม่หลุดออกมา ตามหน้าเอกสาร Azure Cloud HSM เป็นบริการแบบ single-tenant ที่ผ่านการตรวจสอบ FIPS 140-3 Level 3 ลูกค้ามีสิทธิ์ผู้ดูแลเต็มที่ ต่อเข้าผ่าน private endpoint และ Microsoft ระบุว่าไม่มีสิทธิ์เข้าถึงกุญแจของลูกค้า Azure Cloud HSM Hardware Audit Logging ตอบคำถามที่ทีมตรวจสอบมักถามต่อมาคือ หลังตั้งค่าเสร็จแล้ว ใครเข้ามาจัดการ HSM บ้าง และบันทึกนั้นเชื่อถือได้แค่ไหน

![หน้าผลิตภัณฑ์ Azure Cloud HSM บนเว็บ Microsoft Azure](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/azure-cloud-hsm-hardware-audit-logging-signed-audit-trail/azure-cloud-hsm-product-page.webp?v=f13d8d10) _(ภาพ: Microsoft Azure (ภาพหน้าจอ))_

## Azure Cloud HSM Hardware Audit Logging บันทึกอะไร

Microsoft อธิบายว่าบันทึกเดิมของแพลตฟอร์มยังมีประโยชน์ แต่องค์กรที่อยู่ภายใต้การกำกับมักต้องการหลักฐานที่เกิดใกล้ขอบเขตการเข้ารหัสที่สุด Azure Cloud HSM Hardware Audit Logging จึงดึงบันทึกที่ HSM สร้างเอง ผูกกับอุปกรณ์ที่ทำงานกับกุญแจจริง ตามประกาศ บันทึกครอบคลุม 5 กลุ่มกิจกรรม

| กลุ่มกิจกรรมที่บันทึก | ตัวอย่างที่ทีมตรวจสอบนำไปใช้ |
| --- | --- |
| การยืนยันตัวตนและเซสชัน | ดูการเข้าสู่ระบบที่ผิดปกติ |
| การจัดการผู้ใช้และผู้ดูแล | ตามว่าใครเพิ่มหรือเปลี่ยนสิทธิ์ผู้ดูแล |
| การเปลี่ยนนโยบายและการตั้งค่า | พิสูจน์ว่านโยบายไม่ถูกแก้นอกขั้นตอน |
| วงจรชีวิตของกุญแจ | ตรวจการสร้างและลบกุญแจ |
| การสำรองและกู้คืน | ยืนยันว่าการสำรองเกิดตามรอบ |

เอกสารบทเรียนบน Microsoft Learn ให้รายละเอียดเพิ่มว่าบันทึกเป็นแบบ tamper-evident สร้างโดยเฟิร์มแวร์ของ HSM และครอบคลุมการเข้าสู่ระบบ การจัดการผู้ใช้ การสร้างและลบกุญแจ การนำเข้าและส่งออกกุญแจ รวมถึงการสำรองและกู้คืน เอกสารเตือนด้วยว่าบันทึกอาจมีรหัสผู้ใช้ หมายเลข session และ key handle จึงควรจำกัดสิทธิ์เข้าถึง storage account และ Log Analytics workspace ปลายทาง

![หน้าบล็อก Microsoft Azure ประกาศ Azure Cloud HSM Hardware Audit Logging เมื่อ 29 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/azure-cloud-hsm-hardware-audit-logging-signed-audit-trail/azure-cloud-hsm-hardware-audit-logging-blog-page.webp?v=008cec53) _(ภาพ: Microsoft Azure Blog (ภาพหน้าจอ))_

## ตรวจสอบบันทึกจาก Azure Cloud HSM Hardware Audit Logging เองได้อย่างไร

จุดต่างที่ Microsoft เน้นคือบันทึกมีให้มากกว่าข้อความอ่านได้ ลูกค้าได้รับบันทึกที่อ่านได้ ข้อมูลไบนารีที่ HSM เซ็นรับรอง ลายเซ็น และใบรับรองของ HSM เพื่อนำไปตรวจสอบความถูกต้องและความครบถ้วนของแต่ละชุดบันทึกด้วยตัวเอง ตามเอกสาร Microsoft Learn ระบบดึงบันทึกจากแต่ละพาร์ทิชันเป็นชุด (batch) ชุดละหนึ่งลายเซ็นด้วยกุญแจใบรับรองของพาร์ทิชัน และทุกรายการในชุดเดียวกันมีรหัสชุดร่วมกัน

ผลคือองค์กรเก็บหลักฐานชุดนี้ไว้นอกระบบ log ได้ และพิสูจน์ย้อนหลังด้วยการเข้ารหัสเมื่อถึงเวลาตรวจสอบหรือสอบสวนเหตุ แทนที่จะพึ่งข้อความที่ส่งมาอย่างเดียว

Azure Cloud HSM ส่งบันทึกไปยัง Azure Monitor Log Analytics ซึ่งนำเข้า Microsoft Sentinel หรือเครื่องมือค้นหาและรายงานที่ทีมใช้อยู่ได้ Microsoft ยกสถานการณ์ใช้งานไว้ 3 แบบ ทีมปฏิบัติการความปลอดภัยดูการยืนยันตัวตนผิดปกติ ทีมกำกับดูแลขอหลักฐานว่ามีการบันทึกการจัดการระดับสิทธิ์สูงตลอดช่วงตรวจประเมิน และทีมตอบสนองเหตุประกอบลำดับเหตุการณ์ใน HSM ก่อนและหลังเหตุการณ์

![แผนภาพสถาปัตยกรรม Azure Cloud HSM แอปและเครื่องผู้ดูแลเชื่อมผ่าน private endpoint ไปยังคลัสเตอร์ HSM](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/azure-cloud-hsm-hardware-audit-logging-signed-audit-trail/azure-cloud-hsm-architecture-private-endpoint.webp?v=f08fdc95) _(ภาพ: Microsoft Learn)_

## เปิดเป็นนโยบายถาวร และต้องตั้งที่เก็บบันทึกเอง

Microsoft ระบุว่า Azure Cloud HSM Hardware Audit Logging เปิดเป็นนโยบายถาวรของพาร์ทิชัน HSM (immutable HSM partition policy) เพื่อให้ครอบคลุมสม่ำเสมอและลดโอกาสที่ log ถูกปิดไประหว่างงานดูแลปกติ ฟีเจอร์ทยอยเปิดใน Region สาธารณะของ Azure Cloud HSM และเปิดอัตโนมัติกับ HSM ที่สร้างใหม่ในที่ที่ฟีเจอร์พร้อมใช้ Microsoft ไม่ได้ระบุชื่อ Region ในประกาศ และให้ลูกค้าตรวจหน้ารายชื่อบริการตาม Region กับเอกสารล่าสุดเอง

ลูกค้ายังมีงานต้องทำ ประกาศระบุว่าลูกค้ารับผิดชอบการกำหนดสิทธิ์เข้าถึงระบบเฝ้าระวัง ระยะเวลาเก็บข้อมูล ระบบแจ้งเตือน และขั้นตอนตรวจทาน ตามบทเรียนบน Microsoft Learn ต้องสร้าง diagnostic setting เพื่อส่งบันทึกไปยัง storage account และ Log Analytics workspace โดย workspace ต้องตั้งการเก็บข้อมูลอย่างน้อย 30 วัน และเอกสารแนะนำให้ใช้บันทึกการทำงานของ HSM เป็นแหล่งหลักสำหรับตรวจสอบ ส่วนบันทึกการทำงานของบริการ (service operation logs) ใช้เสริมการแก้ปัญหา

![หน้าบทเรียน Microsoft Learn เรื่องตั้งค่าและค้นหาบันทึกการทำงานของ HSM สำหรับ Azure Cloud HSM](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/azure-cloud-hsm-hardware-audit-logging-signed-audit-trail/azure-cloud-hsm-operation-audit-logs-tutorial.webp?v=69787302) _(ภาพ: Microsoft Learn (ภาพหน้าจอ))_

## ทำไม Azure Cloud HSM Hardware Audit Logging สำคัญ

Azure Cloud HSM Hardware Audit Logging แตะจุดที่ผู้ตรวจสอบมักขอหลักฐานละเอียดที่สุด เพราะผู้ที่ควบคุม HSM คุมกุญแจที่ปกป้องข้อมูลอ่อนไหวทั้งระบบ บันทึกที่อุปกรณ์สร้างเองและเซ็นรับรองได้ ช่วยตอบคำถาม "ใครเปลี่ยนนโยบายและเมื่อไร" ได้หนักแน่นกว่าบันทึกที่แอปหรือแพลตฟอร์มเขียนแทน และปิดไม่ได้โดยไม่ตั้งใจ

เรื่องนี้ต่อเนื่องจากเทรนด์การคุมกุญแจของผู้ให้บริการคลาวด์ในช่วงที่ผ่านมา ทั้ง [Azure External Key Management ที่ให้เก็บกุญแจหลักใน HSM ขององค์กรเอง](/cloud/azure-external-key-management-ga-sovereign-cloud/) และฝั่ง AWS ที่เปิด [AWS KMS ML-KEM กุญแจต้านควอนตัมตาม FIPS 203](/cloud/aws-kms-ml-kem-post-quantum-key-encapsulation/) ผู้ให้บริการแข่งกันที่ความโปร่งใสของการดูแลกุญแจควบคู่กับอัลกอริทึม

## สิ่งที่องค์กรไทยควรทำ

- **ตรวจก่อนว่าใช้ HSM แบบไหนอยู่:** ถ้าระบบเซ็นเอกสาร CA ภายใน การเข้ารหัสฐานข้อมูล (TDE) หรือ SSL offload วางกุญแจไว้ที่ใด และกุญแจอยู่บน HSM ที่มีบันทึกการจัดการระดับอุปกรณ์หรือไม่
- **ยืนยัน Region ก่อนวางแผน:** Microsoft บอกว่าฟีเจอร์กำลังทยอยเปิด ให้ตรวจหน้า Azure products available by region ว่า Region ที่ต้องการมี Azure Cloud HSM และฟีเจอร์นี้ครบหรือยัง
- **ตั้ง diagnostic setting สำหรับ Azure Cloud HSM Hardware Audit Logging ตั้งแต่วันแรก:** ส่งบันทึกไปทั้ง storage account และ Log Analytics workspace ที่เก็บอย่างน้อย 30 วัน แล้วกำหนดว่าหลักฐานชุดที่เซ็นแล้วจะเก็บนานเท่าใดตามข้อกำหนดของหน่วยงานกำกับ
- **จำกัดสิทธิ์ผู้อ่านบันทึก:** เพราะบันทึกมีรหัสผู้ใช้ session และ key handle ให้เปิดให้เฉพาะทีมความปลอดภัยและทีมตรวจสอบ
- **ซ้อมตรวจลายเซ็นก่อนวันตรวจจริง:** ลองใช้ยูทิลิตีตรวจชุดบันทึกหนึ่งชุด จดขั้นตอน และกำหนดผู้รับผิดชอบ เพื่อไม่ต้องเรียนรู้ระหว่างที่ผู้ตรวจรออยู่

ติดตามข่าวต่อจาก Azure Cloud HSM Hardware Audit Logging และความปลอดภัยของกุญแจเข้ารหัสอื่น ๆ ได้ที่ [หมวดคลาวด์](/cloud/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

หลักฐานการดูแลกุญแจและการเข้าถึงข้อมูลเป็นสิ่งที่สถาบันการเงินและฟินเทคไทยต้องเตรียมไว้เมื่อถูกตรวจสอบ [Finance Cloud](https://thaidata.cloud/finance/) ของ THAI DATA CLOUD ช่วยสถาบันการเงิน ฟินเทค สหกรณ์ และธุรกิจสินเชื่อ ประมวลผลและจัดเก็บข้อมูลการเงินบนคลาวด์ที่ออกแบบเพื่อความปลอดภัยสูง และควบคุมสิทธิ์การเข้าถึงได้ละเอียด (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## คำถามที่พบบ่อย

### Azure Cloud HSM Hardware Audit Logging คืออะไร?

Azure Cloud HSM Hardware Audit Logging คือความสามารถที่ Microsoft ประกาศเมื่อ 29 ตุลาคม 2026 ให้เก็บบันทึกที่ตัว HSM สร้างขึ้นเองสำหรับการจัดการที่รองรับ เช่น การเข้าสู่ระบบ การจัดการผู้ใช้ การสร้างและลบกุญแจ แล้วส่งเข้า Azure Monitor Log Analytics พร้อมข้อมูลที่ HSM เซ็นรับรองไว้ให้ลูกค้าตรวจสอบเองได้

### Azure Cloud HSM Hardware Audit Logging บันทึกอะไรบ้าง?

ตามประกาศของ Microsoft Azure Cloud HSM Hardware Audit Logging บันทึกครอบคลุมการยืนยันตัวตนและเซสชัน การจัดการผู้ใช้และผู้ดูแล การเปลี่ยนนโยบายและการตั้งค่า การทำงานกับกุญแจตลอดวงจรชีวิต และการสำรองกับกู้คืน เอกสาร Microsoft Learn ยังระบุการนำเข้าและส่งออกกุญแจในรายการที่บันทึกด้วย

### ต้องเปิด Azure Cloud HSM Hardware Audit Logging เองหรือไม่?

Microsoft ระบุว่า Azure Cloud HSM Hardware Audit Logging เปิดอัตโนมัติกับ Azure Cloud HSM ที่สร้างใหม่ในที่ที่รองรับ และบันทึกเป็นนโยบายถาวรของพาร์ทิชัน HSM ส่วนการส่งบันทึกออกไปยัง storage account และ Log Analytics workspace ต้องตั้งค่า diagnostic setting เอง ตามบทเรียนบน Microsoft Learn

### ลูกค้าตรวจสอบบันทึกจาก Azure Cloud HSM ว่าถูกต้องได้อย่างไร?

ในกรณีของ Azure Cloud HSM Hardware Audit Logging แต่ละชุดบันทึกถูก HSM เซ็นด้วยกุญแจใบรับรองของพาร์ทิชัน ลูกค้าได้รับบันทึกที่อ่านได้ ข้อมูลไบนารีที่เซ็นแล้ว ลายเซ็น และใบรับรองสาธารณะของ HSM จึงใช้ยูทิลิตีตรวจสอบย้อนกลับได้ว่าบันทึกมาจาก HSM ตัวนั้นและชุดข้อมูลยังไม่ถูกแก้

### Azure Cloud HSM ต่างจากบริการ Azure ตัวอื่นอย่างไร?

Azure Cloud HSM เป็นบริการ HSM แบบ single-tenant ที่ได้รับการตรวจสอบ FIPS 140-3 Level 3 ลูกค้าได้สิทธิ์ผู้ดูแลเต็มที่ ต่อผ่าน private endpoint ในเครือข่ายเสมือนของตัวเอง และ Microsoft ระบุว่าไม่มีสิทธิ์เข้าถึงกุญแจของลูกค้า แต่ละคลัสเตอร์มี HSM 3 ตัว


## แหล่งอ้างอิง

- [Azure Cloud HSM Hardware Audit Logging: Verifiable audit trails for security and compliance](https://azure.microsoft.com/en-us/blog/azure-cloud-hsm-hardware-audit-logging-verifiable-audit-trails-for-security-and-compliance/) — Microsoft Azure Blog
- [Tutorial: Configure and query HSM operation audit logs for Azure Cloud HSM](https://learn.microsoft.com/en-us/azure/cloud-hsm/tutorial-hsm-operation-audit-logs) — Microsoft Learn
- [Overview of Azure Cloud HSM](https://learn.microsoft.com/en-us/azure/cloud-hsm/overview) — Microsoft Learn
- [Azure Cloud HSM](https://azure.microsoft.com/en-us/products/cloud-hsm) — Microsoft Azure