Che cos'è la gestione delle chiavi esterne di Managed HSM? (anteprima)

La gestione delle chiavi esterne per Managed HSM consente di mantenere la chiave di crittografia della chiave (KEK) in un HSM di proprietà del cliente e gestito dal cliente, ospitato interamente al di fuori dell'infrastruttura Microsoft. Quando un servizio Azure deve incapsulare o rimuovere l'incapsulamento di una chiave di crittografia dei dati, Managed HSM delega tale operazione all'HSM esterno tramite un EKM Proxy gestito dal cliente e operato da te o dal tuo fornitore HSM.

La gestione delle chiavi esterne è progettata per le organizzazioni con rigorosi requisiti normativi o di sovranità digitale che impongono legalmente o contrattualmente il controllo fisico del materiale chiave all'esterno di Microsoft data center. Si tratta di un'opzione di ultima istanza, controllata, non di un aggiornamento generico alle chiavi del modulo di protezione hardware gestito.

Perché usare la gestione delle chiavi esterne?

La gestione delle chiavi esterne è la scelta giusta quando si ha un requisito difficile che il materiale della chiave non risieda fisicamente nell'infrastruttura di Microsoft. I driver specifici includono:

• Massimo controllo del tasto. La chiave KEK non si trova mai né nell'infrastruttura Microsoft né vi transita. Solo il tuo hardware esegue operazioni di avvolgimento e srotolamento.
• Sovranità digitale e conformità. La gestione delle chiavi esterne soddisfa i requisiti normativi e di sovranità più rigorosi. Poiché si controlla fisicamente il modulo di protezione hardware, è possibile disconnetterlo in qualsiasi momento per arrestare tutte le operazioni di crittografia.
• Indipendenza dal fornitore Microsoft pubblica un'API proxy EKM standard. Qualsiasi fornitore di HSM può implementare un proxy conforme e puoi anche implementarne uno tu stesso.
• Cancellare i limiti di responsabilità. Microsoft è responsabile di HSM gestito fino a limite di servizio incluso. L'utente e il fornitore del modulo di protezione hardware possiedono tutto il resto: il proxy, il modulo di protezione hardware esterno, la rete, la disponibilità e il supporto.
• Nessun sovrapprezzo Microsoft. La gestione esterna delle chiavi non aggiunge alcun costo per operazione rispetto ai prezzi standard di Managed HSM. Sostieni il costo dell'infrastruttura proxy e delle licenze del fornitore HSM.

Quando non usare la gestione delle chiavi esterne

La gestione delle chiavi esterne scambia disponibilità, prestazioni e semplicità operativa per il controllo della chiave fisica all'esterno dell'infrastruttura Microsoft. Se non si ha un requisito legale o contrattuale che impone tale controllo, usare invece chiavi HSM gestite.

Motivi specifici per scegliere le chiavi HSM gestite rispetto alla gestione esterna delle chiavi:

• Nessun accordo sul livello di servizio (SLA) per le chiavi esterne. Il contratto di servizio del modulo di protezione hardware gestito copre solo le chiavi del modulo di protezione hardware gestito. La disponibilità delle operazioni di wrapping e unwrapping per le chiavi esterne dipende interamente dal proxy e dall'HSM.
• Disponibilità e prestazioni inferiori. Ogni operazione con chiave esterna aggiunge latenze di rete aggiuntive al proxy e al modulo di protezione hardware (HSM). Le chiavi HSM gestite sono più veloci e più disponibili in base alla progettazione.
• Costi operativi più elevati. Si è responsabili del provisioning, dell'installazione delle patch, del ridimensionamento e del monitoraggio del proxy e dell'HSM esterno.
• Microsoft non offre alcun supporto proxy o HSM. Microsoft non distribuisce, esegue o supporta il Proxy EKM né l'HSM esterno. Tale responsabilità appartiene all'utente o al fornitore del modulo di protezione hardware.
• Limitarsi a eseguire wrapping e unwrapping. La gestione delle chiavi esterne supporta le operazioni wrapKey e unwrapKey. Gli scenari di firma, verifica, crittografia, decrittografia, Secure Key Release (SKR) e avvio di VM riservata non rientrano nell'ambito di applicazione.

Confronto: chiavi esterne rispetto alle chiavi HSM gestite

Funzionamento della gestione delle chiavi esterne (alto livello)

Quando un servizio Azure esegue un'operazione di crittografia dei dati a riposo, Managed HSM identifica se la chiave dispone di un identificatore esterno della chiave. In tal caso, Managed HSM inoltra l'operazione al proprio proxy EKM anziché elaborarla localmente. Il proxy esegue l'autenticazione con il modulo di protezione hardware esterno tramite TLS reciproco e restituisce il risultato al modulo di protezione hardware gestito, che lo restituisce al chiamante.

Il flusso della richiesta è simile al seguente:

1. Un servizio di Azure, ad esempio Archiviazione di Azure, richiama Managed HSM per un’operazione di tipo wrapKey o unwrapKey.
2. Il modulo di protezione hardware gestito identifica la chiave come esterna tramite il relativo identificatore di chiave esterna e inoltra l'operazione al proxy EKM del cliente.
3. Il proxy EKM si autentica con l'HSM esterno tramite TLS reciproco e invia l'operazione.
4. L'HSM esterno esegue l'operazione e restituisce il risultato al proxy.
5. Il proxy restituisce il risultato a Managed HSM, che a sua volta lo restituisce al servizio Azure chiamante.

Per le opzioni complete di architettura e topologia di rete, vedere Architettura di gestione delle chiavi esterne del modulo di protezione hardware gestito.

Fornitori di moduli di protezione hardware che supportano la gestione delle chiavi esterne (anteprima)

I fornitori di moduli di protezione hardware seguenti supportano la specifica dell'API di gestione delle chiavi esterne del modulo di protezione hardware gestito.

Questo elenco è informativo. Microsoft non offre alcuna rappresentazione sulla compatibilità, la disponibilità o la qualità dell'implementazione proxy di un determinato fornitore. Ogni fornitore del modulo di protezione hardware è responsabile della funzionalità del proxy e del supporto dei propri clienti. Valutare i fornitori in base alle linee guida per la distribuzione, ai risultati della conformità e agli impegni di supporto pubblicati da ogni fornitore per il proprio prodotto.

Microsoft non spedirà un proxy. I fornitori implementano il proxy usando un'API proxy EKM pubblica. È anche possibile implementare il proprio proxy sulla stessa API pubblica.

Anteprima dell'ambito e delle limitazioni

Tenere presenti i vincoli seguenti durante l'anteprima:

• Accesso gestito. La gestione delle chiavi esterne deve essere abilitata per la tua sottoscrizione dal team Microsoft responsabile del tuo account. Contattali per richiedere l'abilitazione. Per qualificarsi per l'onboarding e per l'uso della gestione esterna delle chiavi, è necessario disporre di un account manager Microsoft assegnato e soddisfare un requisito minimo di almeno 10 milioni di USD ($10M) di ricavi annuali complessivi di Azure impegnati.
• Regione. Disponibile in tutte le aree pubbliche Azure all'avvio dell'anteprima. I cloud sovrani (Azure per enti pubblici, Azure Cina) non rientrano nell'ambito dell'anteprima.
• Operazioni supportate. Limitarsi a eseguire wrapping e unwrapping (wrapKey, unwrapKey).
• Scenari supportati. Crittografia dei dati archiviati per i servizi di Azure che supportano chiavi gestite dal cliente (CMK) con HSM gestito.
• Nessun contratto di servizio. Nessun contratto di servizio copre chiavi esterne, il proxy EKM o il modulo di protezione hardware esterno.
• Trasparenza degli errori. Il modulo di protezione hardware gestito registra errori di superficie attribuibili al proxy o al modulo di protezione hardware esterno. Questi guasti non vengono conteggiati ai fini dello SLA di Managed HSM.
• Immutabilità dell'identificatore di chiave esterna. Un identificatore di chiave esterna non è modificabile dopo l'assegnazione. Ruotare le chiavi creando nuove versioni delle chiavi, non modificando un identificatore di chiave esterno esistente.
• Backup e ripristino non supportati. Managed HSM al momento non supporta le operazioni di backup e ripristino per le chiavi esterne. Il tentativo di ripristinare una chiave esterna da un backup può causare l'ingresso della risorsa HSM gestita associata in uno stato degradato. Per ripristinare un riferimento a una chiave esterna, ricreare il riferimento alla chiave esterna in HSM gestito anziché usare operazioni di ripristino.

Per iniziare

Inizia con gli articoli introduttivi e le guide introduttive più adatti al tuo ruolo e allo strumento che preferisci.

• Architettura di gestione delle chiavi esterne di Managed HSM.
• Contratto di servizio e responsabilità condivisa per la gestione delle chiavi esterne del modulo di protezione hardware gestito.
• Guida introduttiva: Creare la prima chiave esterna usando il interfaccia della riga di comando di Azure.
• Guida introduttiva: Creare la prima chiave esterna usando il portale di Azure.
• Configurare la rete e mTLS per la gestione esterna delle chiavi di Managed HSM.
• Ciclo di vita della chiave esterna nella gestione delle chiavi esterne in Managed HSM.
• Registrazione e monitoraggio per la gestione delle chiavi esterne di Managed HSM.
• Risolvere i problemi della gestione esterna delle chiavi di Managed HSM.
• Eseguire la migrazione di carichi di lavoro da chiavi esterne per la gestione delle chiavi esterne di HSM gestito.
• Domande frequenti sulla gestione esterna delle chiavi in Managed HSM
• Riferimento dell'API proxy EKM per la gestione delle chiavi esterne di Managed HSM.

Contenuti correlati

• Panoramica di HSM gestito.
• Controllo degli accessi per Managed HSM.
• Come scegliere la soluzione di gestione delle chiavi appropriata.