Was ist verwaltetes HSM von Azure Key Vault?

Wichtig

Wir haben unsere HSM-Flotte auf eine FIPS 140-3-Stufe 3 überprüfte Firmware für Azure Key Vault Managed HSM und Azure Key Vault Premium aktualisiert. Ausführliche Informationen finden Sie unter Update der Managed HSM-Firmware für erweiterte Sicherheit und Compliance.

Azure Key Vault Managed HSM (Hardware Security Module) ist ein vollständig verwalteter, hochverwalteter, hochverwendiger, standardkonformer Clouddienst, der es Ihnen ermöglicht, kryptografische Schlüssel für Ihre Cloudanwendungen mithilfe von FIPS 140-3 Level 3 validierten HSMs zu schützen. Er ist eine von mehreren wichtigen Verwaltungslösungen in Azure.

Informationen zu den Preisen finden Sie unter Azure Key Vault – Preise im Abschnitt „Managed HSM-Pools“. Unterstützte Schlüsseltypen finden Sie unter "Informationen zu Schlüsseln" in verwaltetem HSM.

Der Begriff „Verwaltete HSM-Instanz“ ist ein Synonym für „Verwalteter HSM-Pool“. Um Verwirrung zu vermeiden, verwenden wir in diesen Artikeln die Bezeichnung „Verwaltete HSM-Instanz“.

Hinweis

Zero Trust ist eine Sicherheitsstrategie, die drei Prinzipien umfasst: „Explizit überprüfen“, „Zugriff mit geringsten Berechtigungen verwenden“ und „Von einer Verletzung ausgehen“. Der Datenschutz, einschließlich der Schlüsselverwaltung, unterstützt das Prinzip „Zugriff mit den geringsten Rechten verwenden“. Weitere Informationen finden Sie unter Was ist Zero Trust?

Gründe für die Verwendung von verwaltetem HSM

Vollständig verwaltetes, hochverfügbares Single-Tenant-HSM als Service

  • Vollständig verwaltet: Der Dienst sorgt für HSM-Bereitstellung, -Konfiguration, -Patching und -Wartung.
  • Hochverfügbar: Jeder HSM-Cluster besteht aus mehreren HSM-Partitionen. Im Falle eines Hardwarefehlers werden Mitgliedspartitionen für Ihren HSM-Cluster automatisch zu fehlerfreien Knoten migriert. Weitere Informationen finden Sie unter SLA für verwaltetes HSM.
  • Ein Mandant: Jede verwaltete HSM-Instanz ist für einen einzelnen Kunden dediziert und besteht aus einem Cluster mit mehreren HSM-Partitionen. Jeder HSM-Cluster verwendet eine separate, kundenspezifische Sicherheitsdomäne, um die HSM-Cluster der einzelnen Kunden kryptografisch zu isolieren.

Zugriffssteuerung, verbesserter Schutz von Daten und Konformität

  • Zentrale Schlüsselverwaltung: Verwalten Sie kritische Schlüssel mit hohem Wert für Ihre gesamte Organisation an einem zentralen Ort. Dank präziser schlüsselspezifischer Berechtigungen können Sie den Zugriff auf die einzelnen Schlüssel gemäß dem Prinzip der möglichst geringen Zugriffsberechtigungen steuern.
  • Isolierte Zugriffssteuerung: Das verwaltete lokale RBAC-Zugriffssteuerungsmodell für HSM erlaubt bestimmten HSM-Clusteradministratoren, vollständig über die HSMs zu verfügen, die selbst Administratoren von Verwaltungsgruppen, Abonnements oder Ressourcengruppen nicht außer Kraft setzen können.
  • Private Endpunkte: Verwenden Sie private Endpunkte, um von Ihrer Anwendung, die in einem virtuellen Netzwerk ausgeführt wird, eine sichere und private Verbindung mit dem verwalteten HSM herzustellen.
  • FIPS 140-3 Stufe 3 validierte HSMs: Schützen Sie Ihre Daten und erfüllen Sie die Complianceanforderungen mit FIPS (Federal Information Protection Standard) 140-3 Level 3 validierten HSMs. Verwaltete HSMs verwenden HSM-Adapter von Marvell LiquidSecurity.
  • Überwachen und Überprüfen: Profitieren Sie von der vollständigen Azure Monitor-Integration. Erhalten Sie umfassende Protokolle aller Aktivitäten über Azure Monitor. Verwenden Sie Azure Log Analytics für Analysen und Warnungen.
  • Datenresidenz: Von verwaltetem HSM werden Kundendaten nicht außerhalb der Region gespeichert oder verarbeitet, in der der Kunde die HSM-Instanz bereitstellt.

Integration in Azure- und Microsoft-Dienste (PaaS/SaaS)

Verwendung der gleichen API und Verwaltungsschnittstellen wie Key Vault

  • Bereits vorhandene Anwendungen, die einen Tresor (mehrere Mandanten) nutzen, können ganz einfach für die Verwendung verwalteter HSMs migriert werden.
  • Nutzen Sie für alle Ihre Anwendungen die gleichen Muster für die Anwendungsentwicklung und -bereitstellung – unabhängig von der verwendeten Schlüsselverwaltungslösung: Tresore mit mehreren Mandanten oder verwaltete HSMs mit einem einzelnen Mandanten.

Importieren Sie Schlüssel aus Ihren On-Premises-HSMs

  • Generieren Sie durch HSM geschützte Schlüssel in Ihrem lokalen HSM, und importieren Sie sie sicher in verwaltete HSMs.

Erstellen der Artefakttransparenz durch Signaturtransparenz von Microsoft

Verwaltetes HSM ist in Microsofts Signaturtransparenz (MST) integriert, sodass Kunden seine Build-Artefakte unabhängig prüfen und validieren können. MST erzwingt, dass nur authentifizierte und vertrauenswürdige verwaltete HSM-Identitäten Produktionsbuildartefakte in einem unveränderlichen, manipulationssicheren Ledger registrieren können. Dies liefert kryptografisch verifizierbare, an SCITT ausgerichtete und IETF/COSE-konforme Bestätigungen, die klare Transparenz über die Bereitstellungen von Managed HSM bieten und so Vertrauen, Auditierbarkeit und die Einhaltung gesetzlicher Vorschriften stärken.

Weitere Informationen zu MST finden Sie unter Informationen zum Signing Transparency Ledger von Microsoft. Zum Validieren von Build-Artefakten siehe Signaturen im Ledger verifizieren.

Externe Schlüsselverwaltung (Vorschau)

Wenn Ihre Workload erfordert, dass Schlüsselverschlüsselungsschlüssel (KEY Encryption Keys, KEKs) in einem Hardwaresicherheitsmodul leben, das Sie außerhalb Microsoft Infrastruktur betreiben, können Sie die verwaltung verwalteter externer HSM-Schlüssel verwenden. Externes Schlüsselmanagement ermöglicht es dem verwalteten HSM, Wrap- und Unwrap-Vorgänge an einen vom Kunden betriebenen EKM-Proxy zu delegieren, der Ihrem externen HSM vorgeschaltet ist. Die externe Schlüsselverwaltung ist derzeit als Vorschau verfügbar, unterstützt nur Wrap und Unwrap und wird nicht von der SLA für Managed HSM abgedeckt. Ausführliche Informationen finden Sie unter Was ist die Verwaltung externer HSM-Schlüssel?.

Nächste Schritte

  • Last updated on