Wat is beheerde HSM van Azure Key Vault?

Belangrijk

We hebben onze HSM-vloot bijgewerkt naar een met FIPS 140-3 niveau 3 gevalideerde firmware voor zowel door Azure Key Vault beheerde HSM als Azure Key Vault Premium. Zie de volledige informatie over het bijwerken van beheerde HSM-firmware voor verbeterde beveiliging en naleving.

Azure Key Vault Managed HSM (Hardware Security Module) is een volledig beheerde, maximaal beschikbare cloudservice die compatibel is met één tenant, waarmee u cryptografische sleutels voor uw cloudtoepassingen kunt beveiligen met behulp van met FIPS 140-3 gevalideerde HSM's op niveau 3. Het is een van de verschillende oplossingen voor sleutelbeheer in Azure.

Zie de sectie Beheerde HSM-pools op de pagina met prijzen van Azure Key Vault voor informatie over prijzen. Zie Over sleutels in beheerde HSM voor ondersteunde sleuteltypen.

De term "Beheerd HSM-exemplaar" is synoniem met "Beheerde HSM-pool". Om verwarring te voorkomen, gebruiken we in al deze artikelen "Managed HSM instance".

Notitie

Zero Trust is een beveiligingsstrategie die bestaat uit drie principes: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Gegevensbeveiliging, inclusief sleutelbeheer, ondersteunt het principe 'toegang tot minimale bevoegdheden gebruiken'. Zie voor meer informatie Wat is Zero Trust?

Waarom zou u Managed HSM gebruiken?

Volledig beheerde HSM als dienst met hoge beschikbaarheid voor één tenant

  • Volledig beheerd: de service verwerkt HSM-inrichting, configuratie, patching en onderhoud.
  • Maximaal beschikbaar: elk HSM-cluster bestaat uit meerdere HSM-partities. Als de hardware uitvalt, worden partities van uw HSM-cluster automatisch gemigreerd naar gezonde knooppunten. Zie Managed HSM Service Level Agreement voor meer informatie
  • Eén tenant: Elk beheerd HSM-exemplaar is toegewezen aan één klant en bestaat uit een cluster met meerdere HSM-partities. Elk HSM-cluster maakt gebruik van een afzonderlijk, klantspecifiek beveiligingsdomein dat het HSM-cluster van elke klant cryptografisch isoleert.

Toegangsbeheer, uitgebreide gegevensbescherming en compliance

  • Gecentraliseerd sleutelbeheer: beheer kritieke, hoogwaardige sleutels binnen uw organisatie op één plaats. Met gedetailleerde machtigingen per sleutel beheert u de toegang tot elke sleutel op basis van het principe 'minst bevoegde toegang'.
  • Geïsoleerd toegangsbeheer: met het lokale RBAC-toegangsbeheermodel van beheerde HSM kunnen aangewezen HSM-clusterbeheerders volledige controle hebben over de HSM's die zelfs beheergroep-, abonnements- of resourcegroepbeheerders niet kunnen overschrijven.
  • Privé-eindpunten: gebruik privé-eindpunten om veilig en privé verbinding te maken met beheerde HSM vanuit uw toepassing die wordt uitgevoerd in een virtueel netwerk.
  • Met FIPS 140-3 niveau 3 gevalideerde HSM's: bescherm uw gegevens en voldoen aan de nalevingsvereisten met FIPS (Federal Information Protection Standard) 140-3 Gevalideerde HSM's op niveau 3. Beheerde HSM's maken gebruik van de Marvell LiquidSecurity HSM-adapters.
  • Bewaken en controleren: volledig geïntegreerd met Azure Monitor. U kunt volledige logboeken van alle activiteiten ophalen via Azure Monitor. Gebruik Azure Log Analytics voor analyse en waarschuwingen.
  • Gegevenslocatie: De beheerde HSM slaat geen klantgegevens op buiten de regio waarin de klant het HSM-exemplaar implementeert.

Geïntegreerd met PaaS-/SaaS-services van Azure en Microsoft

Maakt gebruik van dezelfde API en beheerinterfaces als Key Vault

  • Migreer eenvoudig uw bestaande toepassingen die gebruikmaken van een kluis (een multitenant) voor het gebruik van beheerde HSM's.
  • Gebruik dezelfde toepassingsontwikkelings- en implementatiepatronen voor al uw toepassingen, ongeacht de sleutelbeheeroplossing die wordt gebruikt: Multitenant-kluizen of beheerde HSM's met één tenant.

Sleutels importeren uit uw on-premises HSM's

  • Genereer met HSM beveiligde sleutels in uw on-premises HSM en importeer ze veilig in beheerde HSM.

Transparantie van artefacten bouwen via de transparantie van ondertekening van Microsoft

Managed HSM is geïntegreerd met Microsofts Signing Transparency (MST), zodat klanten de build-artefacten onafhankelijk kunnen inspecteren en valideren. MST dwingt af dat alleen geauthenticeerde en vertrouwde Managed HSM-identiteiten productie-buildartefacten kunnen registreren in een onveranderbaar, manipulatiebestendig grootboek. Dit levert cryptografisch verifieerbare, SCITT-uitgelijnde en IETF-/COSE-compatibele ontvangstbewijzen die duidelijk inzicht bieden in de implementaties van beheerde HSM, waardoor vertrouwen, controlebaarheid en naleving van regelgeving worden versterkt.

Zie About Microsoft's Signing Transparency Ledger voor meer informatie over MST. Om buildartefacten te valideren, zie Handtekeningen controleren in het grootboek.

Extern sleutelbeheer (previewversie)

Als uw workload vereist dat sleutelversleutelingssleutels (KEK's) actief zijn in een hardwarebeveiligingsmodule die u buiten Microsoft infrastructuur uitvoert, kunt u extern sleutelbeheer van beheerde HSM gebruiken. Met extern sleutelbeheer kan Managed HSM wrap- en unwrapbewerkingen delegeren aan een door de klant beheerde EKM-proxy vóór uw externe HSM. Extern sleutelbeheer is momenteel in preview, biedt alleen ondersteuning voor verpakken en uitpakken en valt niet onder de beheerde HSM SLA. Zie Wat is extern sleutelbeheer voor Managed HSM? voor meer informatie.

Volgende stappen

  • Last updated on