Azure Key Vault Managed HSM は、FIPS 140-3 レベル 3検証済みのハードウェア セキュリティ モジュールを使用して暗号化キーを保護する、フル マネージドの高可用性シングルテナント クラウド サービスです。 Managed HSM インスタンス内のすべてのキーは HSM で保護されます。Managed HSM では、ソフトウェアで保護されたキーは格納されません。
各 Managed HSM インスタンスは、独自の セキュリティ ドメインを持つ分離されたシングルテナント プールであり、同じ基になるハードウェアを共有する他のすべての Managed HSM インスタンスから完全な暗号化分離を提供します。 Managed HSM インスタンスのデータ プレーン エンドポイントのベース URL が https://<hsm-name>.managedhsm.azure.net。
Managed HSM の暗号化キーは、次の仕様で定義されている JSON Web キー (JWK) オブジェクトとして表されます。
基本的な JWK/JWA 仕様が拡張され、Managed HSM 実装に固有のキー型が有効になります。
サポートされているキーの種類とサイズ
| キーの種類 | サイズ/曲線 |
|---|---|
| RSA-HSM — RSA キー | 2,048 ビット、3,072 ビット、4,096 ビット |
| EC-HSM — 楕円曲線キー | P-256、P-256K (secp256k1)、P-384、P-521 |
| oct-HSM — 対称 (AES) キー | 128 ビット、192 ビット、256 ビット |
マネージド HSM インスタンスで直接キーを生成したり、PEM ファイルから RSA または EC キーをインポートしたり、 BYOK (Bring Your Own Key) 仕様を使用して、サポートされているオンプレミス HSM からキー (RSA、EC、または oct-HSM) を安全に転送したりできます。 詳細については、「 Managed HSM でのキーの管理 」および 「HSM で保護されたキーを Managed HSM (BYOK) にインポートする」を参照してください。
サポートされているアルゴリズム、操作、属性、タグの詳細については、「 キーの種類、アルゴリズム、および操作」を参照してください。
Compliance
Managed HSM のすべてのキーは、 FIPS 140-3 レベル 3 で検証されたハードウェアによって HSM で保護されます。 1 つの保護レベルがあります。Managed HSM では、複数の HSM プラットフォームやソフトウェアで保護されたオプションは公開されません。 ハードウェア環境、検証済み標準 (FedRAMP-High、PCI、SOC 1/2/3、ISO 270x)、およびより広範なAzureコンプライアンス プログラムの詳細については、Managed HSM の技術的な詳細を参照してください。
量子耐性暗号
"量子耐性"、"量子セーフ"、および "ポスト量子" 暗号化は、従来のコンピューターと量子コンピューターの両方からの解読攻撃に対して耐性があると考えられる暗号アルゴリズムを記述するために使用される用語です。 Managed HSM によって提供される AES アルゴリズムで使用される oct-HSM 256 ビット キーは、量子耐性があります。 詳細については、「 商用国家セキュリティ アルゴリズム スイート 2.0」および「Quantum Computing FAQ」を参照してください。
キーの構成証明
Managed HSM は、キーが生成され、Microsoftが動作する HSM 内に存在することを証明できます。 非対称キーは、公開キーと秘密キーの構成証明の両方を受け取ります。対称 (oct-HSM) キーは、秘密キーの構成証明のみを受け取ります。 詳細については、「 キー構成証明を使用してマネージド HSM キーを検証する」を参照してください。
使用シナリオ
| いつ使用するか | Examples |
|---|---|
| カスタマー マネージド キーを使用したサーバー側データ暗号化のAzure | |
| クライアント側のデータ暗号化 | Azure Key Vault を使用したクライアント側の暗号化 |
| キーのない TLS | Managed HSM TLS オフロード ライブラリ |