【客戶成功案例】全球散熱技術大廠深化供應鏈資安：以 OIDC 單一登入與 HSM 金鑰保護，回應 Apple、NVIDIA 稽核的身分與金鑰要求

客戶背景與面臨挑戰：供應鏈資安稽核要求升級

該企業是全球領先的散熱技術大廠，近年從筆電與伺服器的氣冷散熱模組，轉型投入 AI 伺服器液冷產品，並打入 Apple、NVIDIA 等國際科技大廠供應鏈。作為關鍵供應商，該企業必須定期接受客戶的供應鏈資安稽核。

先前，該企業已導入 MAVIS 統一管理外部廠商的遠端連線（詳見前一篇成案）。隨著稽核要求逐年提高，檢查重點從「外部廠商怎麼連進來」延伸到「每個登入身分是否集中管理」與「保護憑證的金鑰是否受到足夠保護」，因此衍生出新的挑戰：

• 身分分散，帳號異動難以同步：員工與外部人員在不同系統各有一組帳密，人員離職或調動時，必須逐一到各系統停用帳號，容易留下沒有及時關閉的帳號。稽核要求以單一登入（Single Sign-On，SSO）或集中身分管理的方式，讓身分的建立與停用都在同一處完成。

• 金鑰保護層次不足：伺服器帳密與 SSH 金鑰雖然有集中託管，但用來加密這些憑證的金鑰同樣存放在軟體環境中。稽核要求金鑰必須受到多重保護，不能只靠單一層防線。

• 內外部連線標準不一：外部廠商的連線已經納管，但內部 IT 與研發人員的特權連線仍沿用各自的習慣與工具，權限範圍與操作紀錄的完整度不一，難以向稽核方證明所有特權存取都在同一套標準下運作。

MAVIS 解決方案與導入效益

為了回應新一輪的稽核要求，該企業在原有基礎上擴大 MAVIS 特權存取管理平台的導入範圍，把身分驗證、金鑰保護與內外部連線統一到同一個平台上。

一、OIDC 單一登入，身分集中管理

針對身分分散、帳號停用不同步的問題，MAVIS 改由企業的身分提供者（Identity Provider，IdP）負責驗證：

• 與既有 IdP 整合：MAVIS 支援 OpenID Connect（OIDC）協定，可與企業既有的 IdP 整合。使用者以企業帳號單一登入 MAVIS，不需要另外記一組密碼。

• 身分異動一處生效：身分驗證集中在 IdP，人員離職或調動時，在 IdP 停用帳號後，該身分就無法再以單一登入進入 MAVIS，減少逐一到各系統關閉帳號的工作。

• 權限依角色指派：登入後能看到哪些設備，由 MAVIS 的角色存取控制（RBAC）與資產權限指派決定，每個身分只能存取職責範圍內的資產。

二、HSM 硬體安全模組，金鑰多重保護

針對金鑰保護層次不足的問題，MAVIS 為託管的憑證建立多層防護：

• 金鑰存放於防竄改硬體：MAVIS 支援整合 GoTrust ID 硬體安全模組（Hardware Security Module，HSM），把加密金鑰存放在防竄改的硬體中進行保護與運算，強化憑證與敏感資料的金鑰管理安全。

• 靜態資料加密與完整性驗證：敏感資料以 AES-128-CBC 加密，並搭配 HMAC-SHA256 完整性驗證，防止資料遭到竄改；傳輸中的資料則以 HTTPS/TLS 保護。

• 使用者不接觸真實憑證：設備的連線帳密與金鑰存放在 MAVIS 的安全保險庫中，使用者透過平台連線，不會直接取得敏感憑證。

三、內外部連線統一納管，所有特權操作都有紀錄

針對內外部連線標準不一的問題，該企業把內部 IT 與研發人員的特權連線也納入 MAVIS，與外部廠商適用同一套管理方式：

• 同一個入口、同一套流程：內部人員與外部廠商都透過 MAVIS 連線至伺服器與設備，支援 SSH、RDP 連線與 SFTP 檔案傳輸，需要時可透過即時存取（JIT）申請與審批流程取得連線權限。

• 即時監控與立即中斷：管理人員可即時監控進行中的會話與指令，發現有風險的操作時立即終止連線。

• 完整紀錄供稽核調閱：所有連線操作全程錄影並記錄操作日誌，可查詢指令明細、回放影片，並可設定日誌保留原則，確保稽核需要時能提出完整紀錄。

總結

從管好外部廠商連線，到集中管理身分、以硬體保護金鑰，該企業把 MAVIS 從單一用途的連線管控工具，擴展為涵蓋所有特權存取的零信任基礎。每一次登入都由企業 IdP 驗證，每一把金鑰都受到硬體保護，每一次內外部連線都留下可追溯的紀錄。對於正在打入國際科技供應鏈的製造業者，供應鏈稽核的要求只會越來越細，提早把身分、金鑰與連線收斂到同一套機制，下一次稽核就不必再從頭補起。