Ciclo di vita delle chiavi esterne nella gestione delle chiavi esterne di Managed HSM (anteprima)

Informazioni generali

Questo articolo descrive il ciclo di vita completo di una chiave esterna nella gestione delle chiavi esterne del modulo di protezione hardware gestito: come creare un riferimento alla chiave, quali operazioni sono supportate, come funziona la rotazione e come eliminare le chiavi in modo sicuro. Il ciclo di vita delle chiavi esterne richiede una pianificazione maggiore rispetto al ciclo di vita delle chiavi del modulo di protezione hardware gestito perché due sistemi indipendenti, il modulo di protezione hardware gestito e il modulo di protezione hardware esterno, devono rimanere sincronizzati. Un'operazione che ha esito positivo su un lato ma ha esito negativo sull'altro può lasciare l'ambiente in uno stato incoerente che influisce su tutte le operazioni di wrapping e annullamento del wrapping.

Riferimento chiave e materiale chiave

Nella gestione delle chiavi esterne, l'oggetto chiave nel modulo di protezione hardware gestito e il materiale della chiave nel modulo di protezione hardware esterno sono entità separate.

L'identificatore di chiave esterna è l'identificatore che collega questi due oggetti insieme. Si tratta di una stringa opaca che il proxy EKM riconosce e usa per instradare le operazioni alla chiave corretta nel modulo di protezione hardware esterno. HSM gestito memorizza l'identificatore della chiave esterna nel riferimento della chiave, ma non conserva né elabora mai il materiale della chiave a cui esso fa riferimento.

Questa suddivisione ha implicazioni dirette per il backup e il ripristino di emergenza:

• Il backup dell'HSM gestito conserva il riferimento della chiave (l'identificatore esterno della chiave, i metadati e i criteri di accesso). Non esegue il backup del materiale crittografico.
• Il backup del modulo di protezione hardware esterno è interamente responsabilità dell'utente. Se la chiave esterna viene persa e non si dispone di alcun backup, le operazioni di wrapping e unwrapping su qualsiasi versione di chiave di Managed HSM che fa riferimento a tale identificatore di chiave esterna avranno esito negativo in modo permanente.

Per la suddivisione completa delle responsabilità, vedere Contratto di servizio e responsabilità condivisa per la gestione delle chiavi esterne del modulo di protezione hardware gestito.

Tipi di chiavi e dimensioni supportati

Operazioni supportate e non supportate

Operazioni supportate:

Operazioni non supportate (anteprima):

• sign e verify
• encrypt e decrypt (diversi da wrapping/unwrapping)
• Secure Key Release (SKR)
• Scenari di avvio della crittografia dischi della macchina virtuale riservata (CVM)
• Crittografia lato server per i servizi che richiedono sign o encrypt direttamente

Creare un riferimento a una chiave esterna

Prima di creare un riferimento alla chiave nel modulo di protezione hardware gestito, la chiave deve esistere già nel modulo di protezione hardware esterno e il proxy EKM deve essere configurato e raggiungibile. La sequenza di creazione è:

1. Crea la chiave nel tuo HSM esterno utilizzando gli strumenti forniti dal produttore dell'HSM.

2. Recuperare l'identificatore di chiave esterna per tale chiave dal proxy EKM.

3. Creare il riferimento alla chiave in HSM gestito:

   az keyvault key create \
     --hsm-name <Managed HSM-name> \
     --name <key-ref-name> \
     --external-key-id <external-key-identifier>
   

HSM gestito crea un oggetto chiave che contiene l'identificatore di chiave esterna, il tipo di chiave e i criteri di accesso. Non genera né importa alcun materiale crittografico.

Per una procedura dettagliata completa, inclusa la configurazione della connessione di gestione delle chiavi esterne, vedere Avvio rapido: Creare la prima chiave esterna usando il interfaccia della riga di comando di Azure.

Authorization

Il RBAC locale di Managed HSM applica tutti i controlli di accesso alle chiavi esterne, esattamente come avviene per le chiavi di Managed HSM. Il ruolo Managed HSM EKM Administrator è necessario per creare e gestire connessioni di gestione delle chiavi esterne. Tutte le altre operazioni sulle chiavi (wrapping, unwrapping, elenco, recupero) usano i ruoli RBAC locali standard di HSM gestito. Per ulteriori dettagli, vedi Controllo di accesso per HSM gestito.

Ruoli comuni per le operazioni chiave esterne:

Il proxy EKM e il modulo di protezione hardware esterno non hanno alcun contesto di identità Azure. Vedono solo richieste mTLS autenticate di wrapping e unwrapping provenienti da HSM gestito. Il proxy non può leggere le assegnazioni di ruolo del modulo di protezione hardware gestito o determinare chi ha originato una richiesta.

Per le definizioni dei ruoli e i comandi di assegnazione, vedi Controllo di accesso per HSM gestito.

Rotation

La rotazione delle chiavi esterne è manuale e guidata dall'operatore. Le chiavi esterne non hanno rotazione automatica gestita dal servizio. È necessario coordinare la rotazione tra l'HSM esterno e Managed HSM.

La sequenza di rotazione è:

1. Genera la nuova chiave nel tuo HSM esterno utilizzando gli strumenti del fornitore dell'HSM.

2. Recuperare il nuovo identificatore di chiave esterna dal proxy EKM.

3. Creare una nuova versione del riferimento della chiave Managed HSM esistente, che punti al nuovo identificatore della chiave esterna:

   az keyvault key create \
     --hsm-name <Managed HSM-name> \
     --name <key-ref-name> \
     --external-key-id <new-external-key-identifier>
   

Dopo aver creato la nuova versione:

• Le nuove operazioni di wrapping usano automaticamente la versione della chiave più recente.
• Il testo cifrato esistente protetto con una versione precedente può ancora essere decrittografato. Le versioni precedenti restano attive e raggiungibili tramite i rispettivi URI con versione.
• L'URI della chiave (URI del pool e nome della chiave, senza un segmento di versione) è stabile in tutte le versioni. I servizi che fanno riferimento all'URI non modificato prelevano automaticamente la nuova versione per le operazioni di wrapping.

Per la sintassi dei comandi e un esempio funzionato, vedere Avvio rapido: Creare la prima chiave esterna usando il interfaccia della riga di comando di Azure.

Backup e ripristino

Managed HSM al momento non supporta le operazioni di backup e ripristino per le chiavi esterne. Il tentativo di ripristinare una chiave esterna da un backup può causare l'ingresso della risorsa HSM gestita associata in uno stato degradato. Per ripristinare un riferimento a una chiave esterna, ricreare il riferimento alla chiave esterna in HSM gestito anziché usare operazioni di ripristino.

Il backup del modulo di protezione hardware esterno è responsabilità dell'utente. Esegui il backup del materiale crittografico utilizzando gli strumenti forniti dal produttore dell'HSM, seguendo le procedure da lui documentate. HSM gestito non ha visibilità né controllo sul backup del materiale di chiavi esterno.

Eliminazione

L'eliminazione di una chiave esterna comporta due operazioni distinte su due sistemi diversi. Assicurati di sapere quale operazione stai eseguendo prima di procedere.

Eliminare il riferimento alla chiave (HSM gestito)

L'eliminazione del riferimento alla chiave di Managed HSM rimuove l'oggetto di routing e la superficie di controllo dell'accesso in Managed HSM. Non tocca l'HSM esterno né il materiale chiave.

az keyvault key delete \
  --hsm-name <Managed HSM-name> \
  --name <key-ref-name>

Managed HSM abilita l'eliminazione temporanea per impostazione predefinita per tutti i pool. Un riferimento di chiave eliminato passa allo stato eliminato e rimane recuperabile per il periodo di conservazione configurato (da 7 a 90 giorni).

Protezione dall'eliminazione, se abilitata, impedisce l'eliminazione permanente fino alla scadenza del periodo di conservazione. Abilitare la protezione dall'eliminazione definitiva in qualsiasi pool HSM gestito che archivia riferimenti a chiavi usate in produzione.

Per rimuovere definitivamente il riferimento dopo l'eliminazione temporanea:

az keyvault key purge \
  --hsm-name <Managed HSM-name> \
  --name <key-ref-name>

Eliminare il materiale crittografico della chiave (HSM esterno)

L'eliminazione del materiale crittografico della chiave nell'HSM esterno è irreversibile. Utilizzare gli strumenti del fornitore dell'HSM e seguire le procedure del fornitore per la distruzione delle chiavi.

Sequenza di eliminazione consigliata:

1. Identifica tutti i servizi Azure usando il riferimento alla chiave (controlla i log di Monitoraggio di Azure per attività recenti di wrapKey e unwrapKey).
2. Passa questi servizi a una chiave diversa.
3. Verificare che non rimanga alcuna attività di incapsulamento o decapsulamento associata al riferimento della chiave.
4. Eliminare (e facoltativamente eliminare definitivamente) il riferimento della chiave Managed HSM.
5. Eliminare il materiale della chiave crittografica nell'HSM esterno usando gli strumenti del fornitore dell'HSM.

Migrazione del carico di lavoro verso una chiave diversa

Non è possibile eseguire la migrazione o convertire una chiave esterna in un'altra chiave: Azure Key Vault e il modulo di protezione hardware gestito non consentono l'esportazione del materiale della chiave tra i limiti di sicurezza. Per passare un carico di lavoro da una chiave esterna a una chiave del modulo di protezione hardware gestito (o a una chiave esterna diversa), eseguire la migrazione del carico di lavoro a una nuova chiave, non alla chiave stessa. La nuova chiave ha un URI di chiave diverso e ogni Azure servizio che utilizza la chiave di origine deve essere riconfigurato in modo che punti al nuovo URI.

Per istruzioni dettagliate, vedere Eseguire la migrazione di carichi di lavoro da chiavi esterne. Per il modello di Azure Key Vault generale, vedere Eseguire la migrazione dei carichi di lavoro chiave.

Contenuti correlati

• Che cos'è la gestione delle chiavi esterne del modulo di protezione hardware gestito?.
• Architettura di gestione delle chiavi esterne di Managed HSM.
• Contratto di servizio e responsabilità condivisa per la gestione delle chiavi esterne del modulo di protezione hardware gestito.
• Guida introduttiva: Creare la prima chiave esterna usando il interfaccia della riga di comando di Azure.
• Eseguire la migrazione di carichi di lavoro da chiavi esterne per la gestione delle chiavi esterne di HSM gestito.
• Controllo degli accessi per Managed HSM.
• Risolvere i problemi della gestione esterna delle chiavi di Managed HSM.