O que é o Azure Key Vault Managed HSM?

O Azure Key Vault Managed HSM (Hardware Security Module) é um serviço de nuvem totalmente gerenciado, altamente disponível, de locatário único e compatível com os padrões que permite proteger chaves criptográficas para seus aplicativos em nuvem, usando HSMs validados pelo FIPS 140-3 Nível 3 . É uma das várias soluções de gerenciamento de chaves no Azure.

Para obter informações sobre preços, consulte a seção Pools HSM gerenciados na página de preços do Azure Key Vault. Para tipos de chaves suportados, consulte Sobre chaves no HSM Gerido.

O termo "instância de HSM gerenciada" é sinônimo de "pool de HSM gerenciado". Para evitar confusão, usamos "Instância HSM gerenciada" ao longo destes artigos.

Por que usar o HSM gerenciado?

HSM como serviço totalmente gerido, de elevada disponibilidade e dedicado a um único cliente

• Totalmente gerido: O serviço trata do provisionamento, configuração, correção e manutenção do HSM.
• Altamente disponível: Cada cluster HSM consiste em múltiplas partições HSM. Se o hardware falhar, as partições dos membros do seu cluster HSM são automaticamente migradas para nós operacionais. Para obter mais informações, consulte Contrato de Nível de Serviço do HSM Gerenciado
• Inquilino único: Cada instância de HSM gerido é dedicada a um único cliente e consiste num cluster de múltiplas partições HSM. Cada cluster HSM usa um domínio de segurança separado específico do cliente que isola criptograficamente o cluster HSM de cada cliente.

Controle de acesso, proteção de dados aprimorada e conformidade

• Gestão centralizada de chaves: Gere chaves críticas e de alto valor em toda a sua organização num só lugar. Com permissões granulares por chave, controle o acesso a cada chave com base no princípio de "acesso menos privilegiado".
• Controlo de acesso isolado: O modelo de controlo de acesso RBAC local de HSM gerido permite que administradores designados de clusters HSM tenham controlo total sobre os HSMs que mesmo administradores de grupos de gestão, subscrição ou grupos de recursos não conseguem sobrepor.
• Endpoints privados: Utilize endpoints privados para se ligar de forma segura e privada ao HSM Gerido a partir da sua aplicação a correr numa rede virtual.
• HSMs validados FIPS 140-3 Nível 3: Proteja os seus dados e cumpra os requisitos de conformidade com os HSMs validados FIPS (Federal Information Protection Standard) 140-3 Nível 3. Os HSMs gerenciados usam adaptadores HSM Marvell LiquidSecurity.
• Monitorizar e auditar: Totalmente integrado com o Azure Monitor. Obtenha registos completos de todas as atividades através do Azure Monitor. Use o Azure Log Analytics para análises e alertas.
• Residência de dados: O HSM gerido não armazena/processa dados do cliente fora da região onde o cliente implementa a instância do HSM.
• Secure Key Release (SKR): Liberte uma chave exportável protegida por HSM apenas para uma carga de trabalho que apresente um token Microsoft Azure Attestation válido que satisfaça a política de lançamento da chave. Funciona com computação confidencial e com VMs Trusted Launch. Consulte a gramática da política de libertação de chaves seguras e o padrão Trusted Launch SKR.

Para informações sobre falhas na operação de chaves, chaves de encriptação de dados em cache (DEKs) e momento da revogação, veja Controlo de chaves gerido pelo cliente, cache e revogação.

Integrado com serviços Azure e Microsoft PaaS/SaaS

• Gere (ou importe usando BYOK) chaves e use-as para criptografar seus dados em repouso nos serviços do Azure, como Armazenamento do Azure, SQL do Azure, Proteção de Informações do Azure e Chave do Cliente para Microsoft 365. Para obter uma lista mais completa dos serviços do Azure que funcionam com HSM gerenciado, consulte Modelos de criptografia de dados.

Usa a mesma API e interfaces de gerenciamento do Key Vault

• Migre facilmente as suas aplicações existentes que utilizam um cofre (multicliente) para utilizarem HSMs geridos.
• Use os mesmos padrões de desenvolvimento e implantação de aplicativos para todos os seus aplicativos, independentemente da solução de gerenciamento de chaves em uso: cofres multilocatários ou HSMs gerenciados de locatário único.

Importar chaves de seus HSMs locais

• Gere chaves protegidas por HSM em seu HSM local e importe-as com segurança para o HSM gerenciado.

Crie transparência dos artefactos com o Signing Transparency da Microsoft

O HSM gerido está integrado com o Signing Transparency (MST) da Microsoft, permitindo aos clientes inspecionar e validar de forma independente os seus artefactos de compilação. O MST exige que apenas identidades HSM geridas autenticadas e confiáveis possam registar artefactos de construção de produção num livro de registo imutável e à prova de adulteração. Este fornece recibos criptograficamente verificáveis, alinhados com SCITT e compatíveis com o IETF/COSE, que proporcionam uma visibilidade clara sobre as implementações do HSM Gerido — reforçando a confiança, a auditabilidade e a conformidade regulatória.

Para mais informações sobre MST, consulte Sobre o registo de transparência de assinaturas da Microsoft. Para validar artefactos de compilação, consulte Verificar assinaturas no ledger.

Gestão de chaves externas

Gestão externa de chaves do Managed HSM liga a encriptação de dados em repouso com chaves geridas pelo cliente (CMK) dos serviços Azure compatíveis a um HSM que opera fora da infraestrutura da Microsoft. O serviço Azure utiliza a sua interface de chave HSM gerida existente enquanto a sua chave de encriptação de chaves (KEK) permanece no seu HSM externo. A gestão externa de chaves está disponível de forma geral.

As chaves HSM geridas proporcionam soberania total ao cliente e a melhor experiência de alta disponibilidade. A gestão externa de chaves é uma opção de último recurso quando requisitos legais ou contratuais exigem a custódia externa da chave. Reveja os cenários suportados e os limites de implementação/instalação, incluindo a exclusão da geo-replicação de HSM gerida com chaves externas.

O SLA do HSM Gerido continua a cobrir o serviço HSM Gerido, mas não a disponibilidade de chaves externas de ponta a ponta. Falhas em componentes externos operados pelo cliente podem interromper cargas de trabalho dependentes do Azure e não contam para os SLAs da carga de trabalho do Azure. Para mais detalhes, veja O que é a gestão de chaves externas para o Managed HSM? e SLA e responsabilidade partilhada pela gestão de chaves externas para o Managed HSM.

Próximos passos

• Gestão de chaves no Azure
• Para obter detalhes técnicos, consulte Como o HSM gerenciado implementa soberania, disponibilidade, desempenho e escalabilidade importantes sem compensações
• Consulte Guia de início rápido: provisionar e ativar um HSM gerenciado usando a CLI do Azure para criar e ativar um HSM gerenciado
• Consulte Como proteger a sua implementação do HSM Gerido
• Estado do HSM Gerido
• Acordo de Nível de Serviço do Managed HSM
• Disponibilidade regional do Managed HSM
• O que é o Confiança Zero?