Azure 統合 HSM の概要

Azure 統合 HSM は、仮想マシンでの暗号化操作のセキュリティとパフォーマンスを強化するために設計されたハードウェア セキュリティ モジュール (HSM) キャッシュおよび暗号化オフロードです。 暗号技術に大きく依存し、パフォーマンス負荷の高いワークロードを持つ組織にとって、Azure Integrated HSMは高速かつ安全な使用のためにハードウェアで安全な暗号化鍵保存方法を提供します。

新しいAzureサーバーハードウェアのAMD Dシリーズv7およびAMD Eシリーズv7から始まり、Microsoft設計のHSMチップはサーバーに直接組み込まれ、連邦情報処理標準(FIPS)140-3レベル3規格を満たしています。 これらの改ざんに強いチップは、暗号化キーをセキュリティで保護されたハードウェア境界内に保持し、待機時間や露出のリスクを排除します。 統合されたHSMは、Azure Key VaultやAzure Storage暗号化などのサポートサービスに対してデフォルトで透過的に動作し、追加設定なしでハードウェアによる信頼を提供します。 このHSM統合により、暗号運用はハードウェアレベルのセキュリティ隔離を享受しつつ、クラウドサービスのパフォーマンスとスケーラビリティを維持します。

Azure統合 HSM の利点

  • 待機時間の短縮
    • 仮想マシン(VM)と同じノード上で暗号処理を行うことで、Azure Key VaultやManaged HSMへのネットワーク往復を減らします。
  • キーは引き続き保護されます
    • Azure Integrated HSMに保存された鍵は平文で公開されず、FIPS 140-3のレベル3 HSM境界内に留まります。
  • メモリ保護
    • メモリ攻撃やクラッシュダンプ攻撃から守ります。
  • 組み込みのインフラストラクチャ
    • Azure Integrated HSMは、Azureインフラの一部として各サポートされているノードに取り付けられています。
  • 追加料金なし
    • 追加料金なしで利用可能

サポートされている操作

Azure統合 HSM では、次の暗号化操作がサポートされています。

  • AES - 暗号化と復号化 (BCRYPT_AES_ALGORITHM)
    • AES-CBC (BCRYPT_CHAIN_MODE_CBC年)
      • 128 ビット
      • 192 ビット
      • 256 ビット
    • AES-GCM (BCRYPT_CHAIN_MODE_GCM)
      • 256 ビット
    • AES-XTS (BCRYPT_XTS_AES_ALGORITHM)
      • 512 ビット
  • RSA (BCRYPT_RSA_ALGORITHM)
    • 復号化 + 署名
      • RSA 2048(2k)
      • RSA 3072(3k)
      • RSA 4096(4k)
    • ラップ解除
      • RSA 2048(2k)
  • ECC
    • ECDSA - 署名 (BCRYPT_ECDSA_ALGORITHM)
      • ECC P256(BCRYPT_ECDSA_P256_ALGORITHM)
      • ECC P384(BCRYPT_ECDSA_P384_ALGORITHM)
      • ECC P521(BCRYPT_ECDSA_P521_ALGORITHM)
    • ECDH - 秘密交換 (BCRYPT_ECDH_ALGORITHM)
      • ECC P256(BCRYPT_ECDH_P256_ALGORITHM)
      • ECC P384(BCRYPT_ECDH_P384_ALGORITHM)
      • ECC P521(BCRYPT_ECDH_P521_ALGORITHM)
  • キーの派生
    • HKDF ("HMAC ベースのキー派生関数") (BCRYPT_HKDF_ALGORITHM)
      • IETF RFC 5869で定義され、NCryptではBCRYPT_HKDF_ALGORITHM文字列で参照されています。

可用性と料金

Azure Integrated HSMは、AMD v7の一般利用可能なプラットフォームで、すべてのAMD v7対応地域で利用可能です。 Azure Integrated HSMは、8 vCore以上向けの汎用Dasv7シリーズ、Dadsv7シリーズ、Easv7シリーズ、Eadsv7シリーズを信頼ローンチVM向けにサポートしています。 Azure統合HSMの一般提供はWindowsサポート専用です。 Linuxのサポートも間もなく実装されます。 Azure統合HSMは追加料金なしで提供されています。

Azure統合HSMのGitHubリポジトリには、Azure統合HSMの使用例と手順があります。

制限事項

  • Windowsゲスト対応のみです。
    • WS2025またはWS2022を搭載したWindowsゲストイメージはAziHSMをサポートできます。 ゲストドライバーのインストールやデバイスとインターフェースするために必要な主要なサービスプロバイダーの詳細については、AziHSM-Guest GitHub リポジトリをご覧ください。
  • 顧客のオプトインが必要です。 Azure統合HSMはすべてのSKUでデフォルトで有効になっているわけではありません。
  • 特定のVM SKUでのみサポートされています。
  • 最低VMサイズの要件。
    • Azure Integrated HSMは8 vCore以上のサイズのみをサポートしています。
  • 信頼された発射セキュリティタイプのみがサポートされています。
    • この機能は信頼できる発射セキュリティタイプでのみ利用可能です。 標準および機密セキュリティタイプはサポートされていません。
  • VM の割り当て解除や再起動のシナリオでは、ローカルにキャッシュされたキーは保持されません。
    • Azure統合HSMは、一時的な暗号操作をサポートするために設計されたローカル鍵キャッシュです。 仮想マシンの再起動後もキーが永続しません。

次のステップ

  • Last updated on