Migrar gateways do SKU de IP Pública Básica do ExpressRoute para HSM Dedicado

A Microsoft estendeu o suporte para o gateway Basic Public IP SKU ExpressRoute, utilizado pelo Azure Dedicated HSM até 31 de março de 2027. Se a sua implementação de HSM dedicado usar o SKU Basic Public IP, complete a migração antes desta data para manter a conectividade.

O Azure Dedicated HSM utiliza um gateway ExpressRoute e um circuito gerido por serviços para ligar a interface de rede virtual do HSM dedicado à sua rede virtual. Não podes migrar este gateway usando o processo padrão de migração do gateway ExpressRoute. O processo padrão não suporta uma rede virtual que contenha um HSM dedicado.

O caminho de migração suportado é implementar um novo ambiente HSM dedicado que utilize um gateway ExpressRoute SKU Standard, estabelecer uma alta disponibilidade entre os ambientes existentes e novos e, em seguida, transferir as suas cargas de trabalho.

A Microsoft não tem acesso aos teus dispositivos HSM dedicados atribuídos, ao material-chave ou à automação da carga de trabalho. És responsável por planear e concluir a migração.

Preparar-se para a migração

Antes de começar:

• Inventariem aplicações e cargas de trabalho que se ligam ao ambiente HSM Dedicado existente.
• Confirma que consegues implementar a capacidade dedicada de HSM necessária na região alvo. Pode ser necessário pedir um aumento de quota para a subscrição alvo antes de implementar os novos HSMs.
• Planeie uma janela de manutenção para alterações na conectividade da aplicação.
• Revise a sua configuração de alta disponibilidade e verifique se os HSMs existentes estão saudáveis.
• Preparar testes de validação de aplicações e operacionais para o novo ambiente.

A Europa Ocidental, o Norte da Europa, o Leste dos EUA, o Leste dos EUA 2 e o Oeste dos EUA podem ter capacidade limitada de HSM Dedicado. Nestas regiões, pode ser necessário usar uma migração contínua:

1. Implante um novo HSM dedicado.
2. Adiciona isso ao grupo de alta disponibilidade existente.
3. Validar a replicação e a conectividade da aplicação.
4. Zeroize e elimine um HSM antigo para libertar a capacidade.
5. Repita o processo até migrar todos os HSMs.

Confirme a capacidade regional e a sua sequência de migração com o suporte do Azure antes de começar.

Implementar um novo ambiente HSM dedicado

Crie um ambiente que utilize um gateway Standard SKU ExpressRoute:

1. Crie uma nova rede virtual.
2. Crie um gateway padrão SKU ExpressRoute.
3. Implementar novas instâncias HSM dedicadas.
4. Configure rede, roteamento e conectividade de aplicações.
5. Validar a conectividade e a prontidão operacional.

Não modifiquem o gateway ExpressRoute no ambiente HSM dedicado existente.

Configurar alta disponibilidade

Estabelecer alta disponibilidade entre os ambientes HSM Dedicados existentes e novos:

1. Crie as partições e configurações HSM necessárias.
2. Configure o mesmo domínio de clonagem nas partições existentes e novas.
3. Adicione as novas partições ao grupo de alta disponibilidade existente.
4. Verifique a sincronização, a saúde da replicação e a disponibilidade de chaves das aplicações dependentes.

Para mais informações, consulte a alta disponibilidade do Azure Dedicated HSM.

Migrar cargas de trabalho

Avance uma aplicação ou carga de trabalho de cada vez:

1. Atualize a aplicação para se ligar ao novo ambiente HSM dedicado.
2. Validar operações criptográficas, monitorização e procedimentos operacionais.
3. Monitorize a carga de trabalho para erros ou comportamentos inesperados.
4. Repita estes passos até que todas as cargas de trabalho de produção utilizem o novo ambiente.

Mantenha o ambiente existente disponível até concluir a validação da aplicação e a validação operacional.

Descomissionamento do antigo ambiente

Afinal, todas as cargas de trabalho utilizam o novo ambiente:

1. Confirme que nenhuma aplicação se liga aos HSMs antigos.
2. Verifique se o novo ambiente tem o material-chave e a capacidade necessários.
3. Siga Como eliminar um recurso HSM para zerar e eliminar cada HSM dedicado antigo.
4. Apague os antigos recursos dedicados de rede HSM apenas depois de o Azure remover todos os recursos HSM antigos.

Porque é que não posso usar o processo padrão de migração do ExpressRoute?

A conectividade HSM dedicada utiliza um circuito ExpressRoute gerido por serviços que liga a interface de rede virtual HSM dedicada ao gateway ExpressRoute. As operações de rede padrão não conseguem recriar ou migrar este circuito.

Não tome nenhuma das seguintes ações no ambiente existente:

• Não migre o gateway existente do SKU de IP Público Básico para o SKU Standard.
• Não modifiquem a configuração do gateway ExpressRoute.
• Não apague nem recrie o gateway ExpressRoute.

Implementa um novo ambiente e move as tuas cargas de trabalho em vez de mudares o gateway no ambiente existente.

Conteúdo relacionado

• Visão geral do HSM Dedicado do Azure
• Ligação em rede do Azure Dedicated HSM
• Migrar do Azure Dedicated HSM para Azure Key Vault Managed HSM ou Azure Cloud HSM
• Sobre a migração do gateway do ExpressRoute