Informacje o kluczach w zarządzanym module HSM

Azure Key Vault Managed HSM to w pełni zarządzana, wysoce dostępna, dedykowana jednemu dzierżawcy usługa chmurowa, która wykorzystuje sprzętowe moduły zabezpieczeń z walidacją FIPS 140-3 Level 3 do ochrony kluczy kryptograficznych. Wszystkie klucze w instancji zarządzanego modułu HSM są chronione przez HSM; zarządzany moduł HSM nie przechowuje kluczy chronionych programowo.

Każde wystąpienie usługi Managed HSM jest izolowaną pulą przeznaczoną dla jednego dzierżawcy, z własną domeną bezpieczeństwa, która zapewnia pełną izolację kryptograficzną od wszystkich innych wystąpień usługi Managed HSM współdzielących tę samą bazową platformę sprzętową. Podstawowy adres URL punktu końcowego płaszczyzny danych dla wystąpienia zarządzanego modułu HSM to https://<hsm-name>.managedhsm.azure.net.

Klucze kryptograficzne w usłudze Managed HSM są reprezentowane jako obiekty JSON Web Key (JWK), zgodnie z poniższymi specyfikacjami:

• Klucz internetowy JSON (JWK)
• Szyfrowanie sieci Web JSON (JWE)
• Algorytmy internetowe JSON (JWA)
• Podpis internetowy JSON (JWS)

Podstawowe specyfikacje JWK/JWA zostały rozszerzone w celu włączenia typów kluczy unikatowych dla implementacji zarządzanego modułu HSM.

Obsługiwane typy kluczy i rozmiary

Klucze można generować bezpośrednio w wystąpieniu zarządzanego modułu HSM, importować klucze RSA lub EC z pliku PEM lub bezpiecznie transportować klucze (RSA, EC lub oct-HSM) z obsługiwanego lokalnego modułu HSM przy użyciu specyfikacji BYOK (bring your own key). Aby uzyskać więcej informacji, zobacz Zarządzanie kluczami w zarządzanym module HSM i Importowanie kluczy chronionych przez moduł HSM do zarządzanego modułu HSM (BYOK).

Aby uzyskać szczegółowe informacje na temat obsługiwanych algorytmów, operacji, atrybutów i tagów, zobacz Typy kluczy, algorytmy i operacje.

Zgodność

Wszystkie klucze w usłudze Managed HSM są chronione przez sprzęt HSM zweryfikowany zgodnie z normą FIPS 140-3 Poziom 3. Istnieje jedna warstwa ochrony; Zarządzany moduł HSM nie uwidacznia wielu platform HSM ani opcji chronionej przez oprogramowanie. Aby uzyskać szczegółowe informacje na temat środowiska sprzętowego, zweryfikowanych standardów (FedRAMP-High, PCI, SOC 1/2/3, ISO 270x) i szerszego programu zgodności Azure, zobacz Managed HSM technical details.

Kryptografia odporna na obliczenia kwantowe

Kryptografia „odporna na komputery kwantowe”, „bezpieczna kwantowo” i „postkwantowa” to terminy używane do określania algorytmów kryptograficznych, które uważa się za odporne na ataki kryptoanalityczne z użyciem zarówno komputerów klasycznych, jak i kwantowych. 256-bitowe klucze oct-HSM używane z algorytmami AES oferowanymi przez usługę Managed HSM są odporne na ataki z użyciem komputerów kwantowych. Aby uzyskać więcej informacji, zobacz Commercial National Security Algorithm Suite 2.0 i Quantum Computing FAQ (Często zadawane pytania dotyczące komercyjnego algorytmu zabezpieczeń narodowych).

Zaświadczanie klucza

Zarządzany moduł HSM może poświadczyć, że klucz został wygenerowany i znajduje się w module HSM obsługiwanym przez firmę Microsoft. Klucze asymetryczne otrzymują zaświadczanie zarówno o kluczu publicznym, jak i prywatnym; Klucze symetryczne (oct-HSM) otrzymują tylko zaświadczanie klucza prywatnego. Aby uzyskać więcej informacji, zobacz Weryfikowanie zarządzanych kluczy HSM przy użyciu zaświadczania kluczy.

Scenariusze użycia

Treści powiązane

• Informacje o zarządzanym module HSM
• Typy kluczy, algorytmy i operacje
• Zarządzanie kluczami w zarządzanym module HSM
• Importowanie kluczy chronionych przez moduł HSM do zarządzanego modułu HSM
• Zaświadczanie klucza
• Omówienie domeny zabezpieczeń
• Wskazówki dotyczące skalowania zarządzanego modułu HSM
• Zarządzanie kluczami na platformie Azure