Om nycklar

Azure Key Vault innehåller två typer av resurser för att lagra och hantera kryptografiska nycklar. Valv stöder programvaruskyddade och HSM-skyddade nycklar (maskinvarusäkerhetsmodul). Hanterade HSM-datorer stöder endast HSM-skyddade nycklar.

• Valv – Valv ger en billig, lättdistribuerad lösning med flera klientorganisationer, zonmotståndskraftig (där det är tillgängligt), nyckelhanteringslösning med hög tillgänglighet som lämpar sig för de vanligaste scenarierna för molnprogram.
• Hanterade HSM:er – Managed HSM tillhandahåller HSM med enkel klientorganisation med hög tillgänglighet för att lagra och hantera dina kryptografiska nycklar. Passar bäst för program och användningsscenarier som hanterar nycklar med högt värde. Hjälper också till att uppfylla de strängaste kraven på säkerhet, efterlevnad och regelverk.

Kryptografiska nycklar i Key Vault är JSON-webbnyckelobjekt (JWK). Azure Key Vault använder följande specifikationer för JavaScript Object Notation (JSON) och JavaScript Object Signing and Encryption (JOSE):

• JSON-webbnyckel (JWK)
• JSON-webbkryptering (JWE)
• JSON-webbalgoritmer (JWA)
• JSON-webbsignatur (JWS)

Azure Key Vault utökar även de grundläggande JWK/JWA-specifikationerna för att aktivera nyckeltyper som är unika för implementeringen.

Valv skyddar lagrade nycklar med en FIPS 140-validerad HSM. Två HSM-plattformar är tillgängliga: HSM Platform 1 skyddar viktiga versioner med FIPS 140-2 Nivå 2 och HSM Platform 2 skyddar viktiga versioner med FIPS 140-3 HSM på nivå 3 . HSM Platform 2 skyddar nu alla nya nycklar och nyckelversioner. För att avgöra vilken HSM-plattform som skyddar en nyckelversion hämtar du dess hsmPlatform-attribut .

Mer information om geografiska gränser finns i Microsoft Azure Säkerhetscenter.

Nyckeltyper och skyddsmetoder

Key Vault Premium och Standard stöder RSA- och EC-nycklar.

HSM-skyddade nycklar (Key Vault Premium)

Symmetriska nycklar (oct-HSM) (förhandsversion)

Azure Key Vault Premium stöder HSM-skyddade symmetriska nycklar via nyckeltypen oct-HSM. Symmetriska nycklar i valv är endast HSM-skyddade och kräver ett Premium-valv.

• Storlekar som stöds: 128-bitars, 192-bitars och 256-bitars.
• Åtgärder som stöds:encrypt , decrypt, wrapKeyoch unwrapKey.
• Algoritmer som stöds: AES-KW, AES-GCM och AES-CBC för kryptering och omslutning; HS256, HS384 och HS512 för HMAC-tecken/verifiering. Information om algoritmer finns i Nyckeltyper, algoritmer och åtgärder.

Exempel: Skapa en AES-nyckel

az keyvault key create \
    --vault-name <vault-name> \
    --name sample-aes-key \
    --kty oct-HSM \
    --size 256 \
    --ops encrypt decrypt wrapKey unwrapKey

Exempel: Kryptera data

az keyvault key encrypt \
    --vault-name <vault-name> \
    --name sample-aes-key \
    --algorithm A256GCM \
    --value aGVsbG8gd29ybGQ=

Programvaruskyddade nycklar (Key Vault Standard och Premium)

Information om stöd för Managed HSM finns i Om nycklar i Managed HSM.

Regelefterlevnad

Kvantresistent, kvantsäker eller post-kvantkryptografi

"Kvantresistent", "kvantsäker" och "post-quantum" kryptografi är alla termer som används för att beskriva kryptografiska algoritmer som tros vara resistenta mot kryptanalytiska attacker från både klassiska datorer och kvantdatorer. 256-bitars symmetriska nycklar (oct-HSM/AES) som används med AES-algoritmerna som erbjuds av Azure Key Vault Premium (förhandsversion) och Managed HSM är kvantresistenta. Mer information finns i Vanliga frågor och svar om Commercial National Security Algorithm Suite 2.0 och Quantum Computing.

Se Nyckeltyper, algoritmer och åtgärder för mer information om varje nyckeltyp, algoritmer, åtgärder, attribut och taggar.

Användningsscenarier

Nästa steg

• Nyckelhantering i Azure
• Om Key Vault
• Om nycklar i Managed HSM
• Om hemligheter
• Om certifikat
• Översikt över KEY Vault REST API
• Autentisering, begäranden och svar
• Utvecklarguide för Key Vault