Tillförlitlighet i Azure Key Vault Managed HSM

Azure Key Vault Managed HSM är en fullständigt hanterad, högtillgänglig molntjänst med en enda klientorganisation som är standardkompatibel och som gör att du kan skydda kryptografiska nycklar för dina molnprogram med hjälp av maskinvarusäkerhetsmoduler (HSM: er) som verifieras till FIPS 140-3 Nivå 3. Managed HSM innehåller en rad inbyggda tillförlitlighetsfunktioner som hjälper dig att säkerställa att dina nycklar förblir tillgängliga.

När du använder Azure är tillförlitlighet ett delat ansvar. Microsoft tillhandahåller en rad funktioner för att stödja återhämtning och återställning. Du ansvarar för att förstå hur dessa funktioner fungerar inom alla tjänster som du använder och välja de funktioner du behöver för att uppfylla dina affärsmål och drifttidsmål.

Den här artikeln beskriver hur Hanterad HSM är motståndskraftig mot olika potentiella avbrott och problem, inklusive tillfälliga fel, partitionsfel och regionfel. Den beskriver också hur du använder säkerhetskopior och säkerhetsdomänen för haveriberedskap, hur återställningsfunktioner skyddar mot oavsiktlig borttagning och viktig information om serviceavtalet på hanterad HSM-tjänstnivå (SLA).

Rekommendationer för produktionsdistribution

För produktionsarbetsbelastningar rekommenderar vi att du:

Översikt över tillförlitlighetsarkitektur

När du använder Managed HSM distribuerar du en instans, som ibland kallas för en pool.

Arkitekturen för Managed HSM är utformad för hög tillgänglighet och hållbarhet.

• Isolation för en enda klientorganisation: Varje Managed HSM-instans är dedikerad till en enda kund och består av ett kluster med flera HSM-partitioner som är kryptografiskt isolerade.

• Trippelredundanta partitioner: En hanterad HSM-pool består av tre belastningsbelastade HSM-partitioner fördelade på separata rack i ett datacenter. Den här distributionen ger redundans mot maskinvarufel och säkerställer att förlusten av en enskild komponent, till exempel ett racks strömförsörjning eller nätverksväxel, inte påverkar alla partitioner.

• Konfidentiell databehandling: Varje tjänstinstans körs i en betrodd körningsmiljö (TEE) som använder Intel SGX-enklaver. Microsoft personal, inklusive personer med fysisk åtkomst till servrarna, kan inte komma åt ditt kryptografiska nyckelmaterial.

• Automatisk återställning: Om ett maskinvarufel eller något annat problem påverkar någon av de tre partitionerna återskapar tjänsten automatiskt den berörda partitionen på felfri maskinvara utan någon kundintervention och utan att avslöja hemligheter.

Information om hur Managed HSM implementerar dessa funktioner finns i Nyckelsuveränitet, tillgänglighet, prestanda och skalbarhet i Managed HSM.

Säkerhetsdomän

Säkerhetsdomänen är en viktig komponent i Hanterad HSM för haveriberedskap. Det är en krypterad blob som innehåller alla autentiseringsuppgifter som behövs för att återskapa en Hanterad HSM-instans från grunden, inklusive partitionens ägarnyckel, partitionens autentiseringsuppgifter, dataomslutningsnyckeln och en första säkerhetskopia av HSM.

Säkerhetsdomäner är en viktig del av säkerheten och tillförlitligheten i din hanterade HSM. Vi rekommenderar att du följer dessa metodtips:

• Generera nycklar på ett säkert sätt: För produktionsmiljöer genererar du RSA-nyckelparen som skyddar säkerhetsdomänen i en luftgapad miljö, till exempel en lokal HSM eller en isolerad arbetsstation.

• Lagra offline: Lagra säkerhetsdomännycklar på krypterade USB-enheter eller annan offlinelagring med varje nyckelresurs på en separat enhet på separata geografiska platser.

• Upprätta ett kvorum för flera personer: Använd minst tre nyckelinnehavare för att förhindra att en enskild person har åtkomst till alla kvorumnycklar och för att undvika ett beroende av en enskild person.

Mer information finns i Säkerhetsdomän i Översikt över hanterad HSM.

Motståndskraft mot tillfälliga fel

Tillfälliga fel är kortvariga, intermittenta fel i komponenter. De förekommer ofta i en distribuerad miljö som molnet, och de är en normal del av åtgärderna. Tillfälliga fel korrigerar sig själva efter en kort tidsperiod. Det är viktigt att dina program kan hantera tillfälliga fel, vanligtvis genom att försöka igen.

Alla molnbaserade program bör följa vägledningen för tillfälliga felhantering i Azure när de kommunicerar med molnbaserade API:er, databaser och andra komponenter. Mer information finns i Rekommendationer för hantering av tillfälliga fel.

När du använder Azure-tjänster som integreras med Managed HSM hanterar dessa tjänster tillfälliga fel automatiskt.

Om du skapar anpassade program som integreras med Managed HSM bör du överväga följande metodtips för att hantera tillfälliga fel som kan inträffa:

• Använd Microsoft-tillhandahållna SDK:er för Azure Key Vault, som innehåller inbyggda mekanismer för återförsök. SDK:er är tillgängliga för .NET, Python och JavaScript.

• Implementera logik för återförsök, inklusive exponentiell backoff, för all kod som interagerar direkt med Managed HSM.

• Minska antalet direkta beroenden på hanterad HSM. Cachelagra resultat av kryptografiska operationer när det är möjligt för att minska direkta begäranden till "Managed HSM". Utför offentliga nyckelåtgärder, till exempel kryptering, omslutning och verifiering, lokalt genom att cachelagra det offentliga nyckelmaterialet. Att utföra åtgärderna lokalt minskar beroendet av din hanterade HSM och minskar sannolikheten för tillfälliga fel som avbryter dessa åtgärder.

Om du använder Managed HSM i scenarier med högt dataflöde begränsar inte Managed HSM kryptografiska åtgärder. Den använder sin HSM-maskinvara till full kapacitet. Varje Hanterad HSM-instans har tre partitioner. Under underhåll eller återställning kan en partition vara otillgänglig. Anta att två partitioner är tillgängliga för kapacitetsplanering. Om du behöver garanterat dataflöde planerar du baserat på att en partition är tillgänglig. Övervaka måttet Hanterad HSM-tillgänglighet för att förstå tjänstens status.

Om du vill skala kryptering för stora datavolymer använder du en nyckelhierarki. Lagra endast nyckelkrypteringsnyckeln (KEK) i Managed HSM och använd den för att omsluta datakrypteringsnycklar på lägre nivå som lagras någon annanstans i säker nyckellagring.

Mer information om prestandamått och kapacitetsplanering finns i Azure vägledning för hanterad HSM-skalning.

Motståndskraft mot partitionsfel

Hanterad HSM uppnår hög tillgänglighet via sin trippelredundanta arkitektur, där varje HSM-pool består av tre HSM-partitioner fördelade på separata serverrack i ett datacenter. Den här racknivådistributionen ger redundans mot lokaliserade maskinvarufel.

När maskinvarufel eller lokaliserade avbrott inträffar omdirigerar Managed HSM automatiskt dina begäranden till felfria partitioner och återskapar berörda partitioner genom en process som kallas för konfidentiell tjänståterställning. Misslyckade partitioner återskapas automatiskt på felfri maskinvara med hjälp av attesterade TLS- och Intel SGX-enklaver för att skydda hemligheter under återställningen.

Cost

Den inbyggda höga tillgängligheten i Managed HSM medför inga extra kostnader. Prissättningen baseras på antalet HSM-pooler och antalet åtgärder som du utför. Mer information finns i Azure Managed HSM pricing.

Beteende när alla partitioner är felfria

I det här avsnittet beskrivs vad du kan förvänta dig när hanterade HSM-pooler används och inga partitioner är otillgängliga.

• Trafikroutning: Hanterad HSM hanterar automatiskt trafikdirigering över sina tre partitioner. Under normala åtgärder distribueras begäranden transparent mellan partitioner.

• Datareplikering: Hanterad HSM replikerar synkront alla data, inklusive nycklar, rolltilldelningar och principer för åtkomstkontroll över alla tre partitionerna. Den här metoden säkerställer konsekvens och tillgänglighet även om en partition blir otillgänglig.

Beteende vid ett partitionsfel

I det här avsnittet beskrivs vad du kan förvänta dig när en eller flera partitioner blir otillgängliga.

• Identifiering och svar: Managed HSM-tjänsten identifierar partitionsfel och svarar automatiskt på dem. Du behöver inte vidta några åtgärder under ett partitionsfel.

• Aktiva begäranden: Under ett partitionsfel kan begäranden under flygning till den berörda partitionen misslyckas och kräva att klientprogram försöker igen. För att minimera effekterna av partitionsfel bör klientprogram följa tillfälliga metoder för felhantering.

• Förväntad dataförlust: Ingen dataförlust förväntas vid ett partitionsfel på grund av synkron replikering mellan partitioner.

• Förväntad stilleståndstid: För läsåtgärder och de flesta kryptografiska åtgärder bör det finnas minimal eller ingen stilleståndstid under ett partitionsfel. De återstående hälsosamma partitionerna fortsätter att hantera förfrågningar.

• Omdistribution av trafik: Hanterad HSM omdirigerar automatiskt trafik från den berörda partitionen till felfria partitioner utan att kunden behöver ingripa.

Partitionsåterställning

När den berörda partitionen återställs, återställer Managed HSM automatiskt drift genom sekretessbelagd tjänståterställning. Den här processen:

1. Skapar en ny tjänstinstans på felfri maskinvara.
2. Upprättar en attesterad TLS-anslutning med den primära partitionen.
3. Utbyter autentiseringsuppgifter och kryptografiskt material på ett säkert sätt.
4. Förseglar servicedata på den nya processorn.

Azure-plattformen hanterar den här processen fullständigt och kräver inga kundinterventioner.

Motståndskraft mot fel i tillgänglighetszonen

Hög tillgänglighet i Managed HSM baseras på distribution på racknivå i ett datacenter, inte explicit distribution av tillgänglighetszoner. Varje partition körs på en separat server i ett annat rack, vilket skyddar mot fel på racknivå, till exempel strömförsörjning eller problem med nätverksväxlar.

Om du vill skydda mot avbrott i hela datacentret eller tillgänglighetszonen använder du någon av metoderna som beskrivs i Motståndskraft mot regionomfattande fel.

Motståndskraft mot regionomfattande fel

Hanterade HSM-resurser distribueras till en enda Azure-region. Om regionen blir otillgänglig är din hanterade HSM inte heller tillgänglig. Det finns dock metoder som du kan använda för att säkerställa motståndskraft mot regionstopp.

Replikering i flera regioner

Hanterad HSM stöder valfri replikering i flera regioner, som du kan använda för att utöka en hanterad HSM-pool från en Azure region (den primära regionen) till en andra Azure region (den utökade regionen). När du konfigurerar den här funktionen:

• Båda regionerna är aktiva och kan hantera begäranden.
• Nyckelmaterial, roller och behörigheter replikeras automatiskt mellan regioner.
• Azure Traffic Manager dirigerar begäranden till den närmaste tillgängliga regionen.
• Det kombinerade SLA ökar.

Kravspecifikation

• Regionstöd: Alla regioner som stöder Hanterad HSM kan användas som primära regioner. Det finns inget beroende av azure-regionparkopplingar.

  Hanterad HSM stöder inte alla regioner som utökade regioner. Mer information finns i Stöd för Azure-regioner.

• Maximalt antal regioner: Du kan lägga till en utökad region, för högst två regioner totalt.

Cost

Replikering i flera regioner medför extra fakturering eftersom den utökade regionen använder en andra HSM-pool. Mer information finns i Azure Managed HSM pricing.

Konfigurera replikering i flera regioner

• Lägg till en utökad region: Mer information om hur du lägger till en utökad region i en befintlig primär region finns i Utöka en primär HSM till en utökad region.

  Det kan ta upp till 30 minuter att utöka en hanterad HSM till en annan region.

• Ta bort en utökad region: Mer information om hur du tar bort en utökad region från en befintlig primär region finns i Ta bort en utökad region från den primära HSM:en.

Beteende när alla regioner är felfria

Det här avsnittet beskriver vad du kan förvänta dig när du konfigurerar replikering i flera regioner och båda regionerna är i drift.

• Trafikroutning: Alla regioner kan hantera begäranden. Azure Traffic Manager dirigerar begäranden till regionen med närmaste geografiska närhet eller lägsta svarstid.

  Om du använder Azure Private Link för att komma åt Hanterad HSM konfigurerar du privata slutpunkter i båda regionerna för optimal routning under redundansväxlingen. Mer information finns i Beteende för privat länk med replikering i flera regioner.

• Datareplikering: Alla ändringar av nycklar, rolldefinitioner och rolltilldelningar replikeras asynkront till den utökade regionen inom sex minuter. Vänta sex minuter efter att du har skapat eller uppdaterat en nyckel innan du använder den i den utökade regionen.

Beteende under ett regionfel

Det här avsnittet beskriver vad du kan förvänta dig när du konfigurerar replikering i flera regioner och det uppstår ett avbrott i en av replikregionerna.

• Identifiering och svar: Azure Traffic Manager identifierar den felaktiga regionen och dirigerar framtida begäranden till den felfria regionen. DNS-poster har fem sekunder kvar att leva (TTL), men klienter som cachelagrar DNS-sökningar kan uppleva något längre redundanstider.

• Anmälan: Microsoft meddelar dig inte automatiskt när en region är nere. Du kan dock använda Azure Service Health för att förstå tjänstens övergripande hälsotillstånd, inklusive eventuella regionfel, och du kan konfigurera Service Health-aviseringar för att meddela dig om problem.

• Aktiva begäranden: Begäranden under flygning till den berörda regionen kan misslyckas och kräver återförsök.

• Förväntad dataförlust: Ändringar som görs inom sex minuter innan regionfelet kanske inte replikeras till den utökade regionen. Dessa ändringar kan gå förlorade om den primära regionen inte kan återställas.

• Förväntad stilleståndstid: Både läs- och skrivåtgärder är fortfarande tillgängliga i den felfria regionen under en failover.

  Klientprogram som ligger nära den felaktiga regionen kan fortsätta att dirigeras till den regionen tills DNS-posterna uppdateras, men den här uppdateringen sker inom cirka fem sekunder. För att minimera redundanstiden bör klienter undvika att cachelagra DNS-sökningar längre än DNS-postens TTL.

• Omdirigering: Azure Traffic Manager omdirigerar automatiskt begäranden till den felfria regionen.

Regionåterställning

När den berörda regionen återställs återupptar Managed HSM automatiskt åtgärderna. Azure Traffic Manager börjar dirigera begäranden till båda regionerna igen baserat på närhet.

Test för regionfel

Hanterad HSM hanterar helt trafikroutning, redundans och återställning efter fel i regionen, så du behöver inte verifiera regionfelprocesser eller ange ytterligare indata.

Anpassade lösningar för flera regioner för återhämtning

Om replikering i flera regioner inte passar dina behov kan du implementera manuell haveriberedskap. Den här metoden kräver:

• Säkerhetsdomänen för källans HSM.
• De privata nycklar (åtminstone kvorumnumret) som krypterar säkerhetsdomänen.
• En nyligen gjord fullständig HSM-säkerhetskopia från käll-HSM:et.

För att utföra katastrofåterställning:

1. Skapa en ny Hanterad HSM-instans i en annan region.
2. Aktivera återställningsläge för säkerhetsdomäner och ladda upp säkerhetsdomänen.
3. Gör en säkerhetskopia av den nya HSM:n (krävs innan du återställer).
4. Återställ säkerhetskopian från HSM-källan.

Detaljerade haveriberedskapsprocedurer finns i Hanterad HSM-haveriberedskap.

Säkerhetskopiering och återställning

Hanterad HSM stöder fullständig säkerhetskopiering och återställning av alla nycklar, versioner, attribut, taggar och rolltilldelningar. Säkerhetskopior lagras i ett Azure Storage-konto. Om din region stöder det rekommenderar vi att du säkerhetskopierar din hanterade HSM till ett Azure Storage konto som har geo-redundant lagring (GRS) aktiverat.

HSM krypterar säkerhetskopior med hjälp av kryptografiska nycklar som är associerade med HSM:s säkerhetsdomän. Du kan bara återställa säkerhetskopior till en HSM med samma säkerhetsdomän.

Hanterad HSM stöder inte schemaläggning av säkerhetskopieringar, men du kan skapa en egen schemaläggare med hjälp av en tjänst som Azure Functions eller Azure Automation.

Medan en säkerhetskopia pågår kanske HSM inte fungerar med fullständigt dataflöde eftersom vissa partitioner är upptagna med att utföra säkerhetskopieringsåtgärden.

Detaljerade procedurer för säkerhetskopiering och återställning finns i Fullständig säkerhetskopiering och återställning.

Motståndskraft mot oavsiktlig borttagning

Managed HSM innehåller två viktiga återställningsfunktioner för att förhindra oavsiktlig eller skadlig borttagning.

• Mjuk borttagning: Borttagna HSM:er och nycklar rensas inte omedelbart. De kan fortfarande återställas under en konfigurerbar kvarhållningsperiod på 7 till 90 dagar (standard: 90 dagar). Mjuk borttagning är alltid aktiverat och kan inte inaktiveras.

  Note

  Hanterade HSM-resurser med mjuk borttagning fortsätter att debiteras tills de rensas.

• Skydd mot rensning: När det är aktiverat förhindrar det att din Managed HSM och dess nycklar tas bort permanent tills kvarhållningsperioden har löpt ut. Rensningsskydd kan inte inaktiveras eller åsidosättas av någon, inklusive Microsoft.

Vi rekommenderar starkt att du aktiverar rensningsskydd för produktionsmiljöer. Mer information finns i Hanterat HSM-skydd för mjuk borttagning och rensning.

Motståndskraft mot serviceunderhåll

Hanterad HSM hanterar tjänstunderhåll, inklusive uppdateringar av inbyggd programvara, korrigering och maskinvaruåterställning, utan kundintervention. Under underhåll:

• Tjänsten kan tillfälligt göra partitioner otillgängliga när uppdateringar tillämpas.
• Minst två av tre partitioner är fortfarande tillgängliga under rutinunderhåll.
• Klientprogrammen bör implementera omprövningslogik för att hantera korta avbrott.

Den konfidentiella tjänståterställningsprocessen säkerställer att tjänsten aldrig exponerar hemligheter under underhållsåtgärder.

Serviceavtal

Serviceavtal (SLA) för Azure-tjänster beskriver den förväntade tillgängligheten för varje tjänst och de villkor som din lösning måste uppfylla för att uppnå den tillgänglighetsförväntningen. Mer information finns i Serviceavtal för onlinetjänster.

Managed HSM tillhandahåller ett serviceavtal för standardtillgänglighet för distributioner i en region. Om du aktiverar replikering i flera regioner ökar den totala förväntade drifttiden, eftersom begäranden kan hanteras från någon av regionerna om en blir otillgänglig.

Relaterat innehåll

• Vad är Azure Key Vault Managed HSM?
• Aktivera replikering i flera regioner
• Haveriberedskap för hanterad HSM
• Fullständig säkerhetskopiering och återställning
• Översikt över säkerhetsdomän i Managed HSM
• Hanterat HSM-skydd för mjuk borttagning och rensning
• Azure Managed HSM-skalningsvägledning
• Vad är Azure dokumentation om tillförlitlighet?