Vad är Azure Key Vault Managed HSM?

Azure Key Vault Managed HSM (Hardware Security Module) är en fullständigt hanterad, högtillgänglig molntjänst med enkel klientorganisation som är standardkompatibel och som gör att du kan skydda kryptografiska nycklar för dina molnprogram med fips 140–3-nivå 3-verifierade HSM:er. Det är en av flera viktiga hanteringslösningar i Azure.

Prisinformation finns i avsnittet Managed HSM Pools (Hanterade HSM-pooler) på prissättningssidan för Azure Key Vault. Information om nyckeltyper som stöds finns i Om nycklar i Hanterad HSM.

Termen "Hanterad HSM-instans" är synonym med "Hanterad HSM-pool". För att undvika förvirring använder vi "Hanterad HSM-instans" i de här artiklarna.

Varför ska jag använda Managed HSM?

Fullständigt hanterad, högtillgänglig HSM dedikerad för en kund som tjänst

• Fullt hanterad: Tjänsten hanterar HSM-etablering, konfiguration, patchning och underhåll.
• Hög tillgänglighet: Varje HSM-kluster består av flera HSM-partitioner. Om maskinvaran misslyckas migreras medlemspartitioner för HSM-klustret automatiskt till felfria noder. Mer information finns i Hanterat HSM-serviceavtal
• Enskild klientorganisation: Varje hanterad HSM-instans är dedikerad till en enskild kund och består av ett kluster med flera HSM-partitioner. Varje HSM-kluster använder en separat kundspecifik säkerhetsdomän som kryptografiskt isolerar varje kunds HSM-kluster.

Åtkomstkontroll, förbättrat dataskydd och efterlevnad

• Centraliserad nyckelhantering: Hantera viktiga nycklar med högt värde i organisationen på ett och samma ställe. Med detaljerade behörigheter per nyckel kontrollerar du åtkomsten till varje nyckel enligt principen "minst privilegierad åtkomst".
• Isolerad åtkomstkontroll: Hanterad HSM lokal RBAC-åtkomstkontrollmodell gör att utsedda HSM-klusteradministratörer kan ha fullständig kontroll över de HSM:er som inte ens hanteringsgrupps-, prenumerations- eller resursgruppsadministratörer kan åsidosätta.
• Privata slutpunkter: Använd privata slutpunkter för att på ett säkert och privat sätt ansluta till Hanterad HSM från ditt program som körs i ett virtuellt nätverk.
• FIPS 140-3 Level 3-verifierade HSM:er: Skydda dina data och uppfylla efterlevnadskraven med FIPS (Federal Information Protection Standard) 140-3 Level 3-verifierade HSM:er. Hanterade HSM:er använder Marvell LiquidSecurity HSM-adaptrar.
• Övervaka och granska: Helt integrerat med Azure Monitor. Hämta fullständiga loggar för all aktivitet via Azure Monitor. Använd Azure Log Analytics för analys och aviseringar.
• Datahemvist: Hanterad HSM lagrar/bearbetar inte kunddata utanför den region som kunden distribuerar HSM-instansen i.
• Secure Key Release (SKR): Frigör endast en exporterbar HSM-skyddad nyckel till en arbetsbelastning som presenterar en giltig Microsoft Azure Attestation-token som uppfyller nyckelns frisläppningspolicy. Fungerar med konfidentiell databehandling och med betrodda virtuella startdatorer. Se grammatik för principer för säker nyckelfrisläppning och Trusted Launch SKR-mönstret.

Information om nyckelåtgärdsfel, cachelagrade datakrypteringsnycklar (DEK: er) och tid för återkallning finns i Kundhanterad nyckelkontroll, cachelagring och återkallning.

Integrerad med Azure- och Microsoft PaaS/SaaS-tjänster

• Generera (eller importera med hjälp av BYOK) nycklar och använd dem för att kryptera dina vilande data i Azure-tjänster som Azure Storage, Azure SQL, Azure Information Protection och Kundnyckel för Microsoft 365. En mer fullständig lista över Azure-tjänster som fungerar med Hanterad HSM finns i Modeller för datakryptering.

Använder samma API och hanteringsgränssnitt som Key Vault

• Migrera enkelt dina befintliga program som använder ett valv (en multitenant) för att använda hanterade HSM:er.
• Använd samma mönster för programutveckling och distribution för alla dina program oavsett vilken nyckelhanteringslösning som används: Multitenant-valv eller hanterade HSM:er med en enda klientorganisation.

Importera nycklar från dina lokala HSM:er

• Generera HSM-skyddade nycklar i din lokala HSM och importera dem säkert till Managed HSM.

Skapa artefakttransparens via Microsoft signeringstransparens

Managed HSM är integrerat med Microsofts signeringstransparens (MST), vilket gör det möjligt för kunder att självständigt granska och validera dess byggartefakter. MST tillämpar att endast autentiserade och betrodda hanterade HSM-identiteter kan registrera produktionsgenereringsartefakter i ett oföränderligt, manipuleringssäkert transaktionsregister. Detta ger kryptografiskt verifierbara, SCITT-anpassade och IETF/COSE-kompatibla kvitton som ger tydlig insyn i Managed HSM:s distributioner – vilket stärker förtroendet, granskningsbarheten och regelefterlevnaden.

Mer information om MST finns i Om Microsofts transparensregister för signering. Information om hur du verifierar byggartefakter finns i Verifiera signaturer i transaktionsregistret.

Hantering av externa nycklar

Extern nyckelhantering för Managed HSM kopplar kompatibla Azure-tjänsters kryptering av data i vila med kundhanterade nycklar (CMK) till en HSM som du driver utanför Microsofts infrastruktur. Tjänsten Azure använder sitt befintliga hanterade HSM-nyckelgränssnitt medan nyckelkrypteringsnyckeln (KEK) finns kvar i din externa HSM. Extern nyckelhantering är allmänt tillgängligt.

Hanterade HSM-nycklar ger fullständig kundsuveränitet och den bästa upplevelsen för hög tillgänglighet. Extern nyckelhantering är ett sista utvägsalternativ när juridiska eller avtalsmässiga krav kräver extern nyckelförvaring. Granska scenarier och distributionsgränser som stöds, inklusive att geo-replikering av hanterad HSM med externa nycklar undantas.

Serviceavtalet för hanterad HSM fortsätter att täcka den hanterade HSM-tjänsten, men inte heltäckande tillgänglighet för externa nycklar. Fel i kunddrivna externa komponenter kan avbryta Azure-arbetsbelastningar som är beroende av dem och räknas inte mot serviceavtalen för Azure arbetsbelastning. Mer information finns i Vad är Managed HSM external key management? och SLA och delat ansvar för Managed HSM external key management.

Nästa steg

• Nyckelhantering i Azure
• För teknisk information, se Hur Managed HSM implementerar nyckelsuveränitet, tillgänglighet, prestanda och skalbarhet utan kompromisser
• Se Snabbstart: Etablera och aktivera en hanterad HSM med Hjälp av Azure CLI för att skapa och aktivera en hanterad HSM
• Se Skydda din hanterade HSM-distribution
• Hanterad HSM-status
• Managed HSM-tjänstenivåavtal
• Tillgänglighet för hanterad HSM-region
• Vad är Nulová dôvera (Zero Trust)?