Architektura nasazení Azure Dedicated HSM
Azure Dedicated HSM poskytuje úložiště kryptografických klíčů v Azure. Splňuje přísné požadavky na zabezpečení. Zákazníci budou mít výhodu z používání azure Dedicated HSM, pokud:
- Musí splňovat certifikaci FIPS 140-2 Level-3
- Vyžadovat, aby měl výhradní přístup k HSM.
- by měla mít úplnou kontrolu nad svými zařízeními
Moduly HSM se distribuují napříč datovými centry Microsoftu a dají se snadno zřídit jako dvojice zařízení jako základ vysoce dostupného řešení. Je také možné je nasadit napříč oblastmi, aby bylo řešení odolné proti havárii. Oblasti s aktuálně dostupným vyhrazeným modulem HSM je možné zkontrolovat na stránce Produkty podle oblastí.
- East US
- USA – východ 2
- USA – západ
- Západní USA 2
- Kanada – východ
- Střední Kanada
- Středojižní USA
- Southeast Asia
- Indie – střed
- Indie – jih
- Japonsko – východ
- Japonsko – západ
- Severní Evropa
- West Europe
- Spojené království – jih
- Spojené království – západ
- Austrálie – východ
- Austrálie – jihovýchod
- Švýcarsko – sever
- Švýcarsko – západ
- USA (Gov) – Virginia
- USA (Gov) – Texas
Každá z těchto oblastí má racky HSM nasazené ve dvou nezávislých datacentrech nebo alespoň dvou nezávislých zónách dostupnosti. Jihovýchodní Asie má tři zóny dostupnosti a USA – východ 2 má dvě. K dispozici je celkem dvacet tří oblastí v Evropě, Asii a Severní Amerika, které nabízejí službu Dedicated HSM. Další informace o oblastech Azure najdete v oficiálních informacích o oblastech Azure. Mezi faktory návrhu pro jakékoli řešení založené na vyhrazeném HSM patří umístění/latence, vysoká dostupnost a podpora jiných distribuovaných aplikací.
Device location (Umístění zařízení)
Optimální umístění zařízení HSM je v nejbližší blízkosti aplikací provádějících kryptografické operace. Očekává se, že latence v oblasti bude jednociferné milisekundy. Latence mezi oblastmi může být 5 až 10krát vyšší.
Vysoká dostupnost
K dosažení vysoké dostupnosti musí zákazník použít dvě zařízení HSM v oblasti, která jsou nakonfigurovaná pomocí softwaru Thales jako dvojice s vysokou dostupností. Tento typ nasazení zajišťuje dostupnost klíčů, pokud u jednoho zařízení dojde k problému, který brání zpracování operací klíčů. Také výrazně snižuje riziko při provádění údržby přerušení nebo opravy, jako je výměna napájecího zdroje. Je důležité, aby návrh zohlednil jakýkoli druh selhání na regionální úrovni. K selháním na regionální úrovni může dojít, když dojde k přírodním katastrofám, jako jsou hurikány, záplavy nebo zemětřesení. Tyto typy událostí by se měly zmírnit zřízením zařízení HSM v jiné oblasti. Zařízení nasazená v jiné oblasti se můžou spárovat prostřednictvím konfigurace softwaru Thales. To znamená, že minimální nasazení vysoce dostupného řešení odolného proti havárii jsou čtyři zařízení HSM ve dvou oblastech. Místní redundanci a redundanci napříč oblastmi je možné použít jako směrný plán pro přidání jakýchkoli dalších nasazení zařízení HSM, která podporují latenci, kapacitu nebo splňují další požadavky specifické pro aplikaci.
Podpora distribuovaných aplikací
Vyhrazená zařízení HSM se obvykle nasazují v rámci podpory aplikací, které potřebují provádět operace úložiště klíčů a načítání klíčů. Vyhrazená zařízení HSM mají 10 oddílů pro podporu nezávislých aplikací. Umístění zařízení by mělo být založené na holistickém zobrazení všech aplikací, které potřebují službu používat.
Další kroky
Po určení architektury nasazení bude většinu konfiguračních aktivit k implementaci této architektury poskytovat Thales. To zahrnuje konfiguraci zařízení a scénáře integrace aplikací. Další informace najdete na portálu zákaznické podpory Společnosti Thales a stáhněte si příručky pro správu a konfiguraci. Na partnerském webu Microsoftu najdete celou řadu průvodců integrací. Doporučujeme, aby všechny klíčové koncepty služby, jako je například vysoká dostupnost a zabezpečení, byly dobře srozumitelné před zřizováním zařízení nebo návrhem a nasazením aplikací. Další témata na úrovni konceptů: