Mengimpor kunci yang dilindungi HSM ke Key Vault (BYOK)

Catatan

Kami menyarankan agar Anda menggunakan modul Az PowerShell Azure untuk berinteraksi dengan Azure. Untuk memulai, lihat Install Azure PowerShell. Untuk mempelajari cara bermigrasi ke modul Az PowerShell, lihat Migrasikan Azure PowerShell dari AzureRM ke Az.

Untuk jaminan tambahan saat menggunakan Azure Key Vault, Anda dapat mengimpor atau menghasilkan kunci dalam modul keamanan perangkat keras (HSM); kunci tidak pernah meninggalkan batas HSM. Skenario ini sering disebut sebagai bring your own key (BYOK). Key Vault menggunakan HSM yang divalidasi FIPS 140 untuk melindungi kunci Anda.

Penting

BYOK mengharuskan HSM sumber Anda untuk mengizinkan pembungkusan kunci (mengekspor kunci dalam bentuk terenkripsi), biasanya dinonaktifkan secara default untuk keamanan. Saat diaktifkan, Anda harus mengelola siapa yang dapat mengekspor kunci dan mengamankan kunci pertukaran kunci. Dengan implementasi yang tepat seperti yang dijelaskan di sini, materi kunci Anda tidak pernah meninggalkan batas yang divalidasi oleh FIPS 140 selama transfer dari HSM Anda ke Azure Key Vault Premium atau HSM Terkelola.

Gunakan artikel ini untuk memahami proses transfer kunci dari HSM lokal Anda ke Azure Key Vault.

Catatan

Metode impor ini hanya tersedia untuk HSM yang didukung.

Untuk informasi selengkapnya, serta untuk tutorial memulai menggunakan Key Vault (termasuk cara membuat key vault untuk kunci yang telah diproteksi oleh HSM), lihat Apa itu Azure Key Vault?

Gambaran Umum

Berikut adalah gambaran umum prosesnya. Langkah-langkah spesifik yang harus diselesaikan dijelaskan nanti dalam artikel.

  • Dalam Key Vault, buat kunci (disebut sebagai Key Exchange Key (KEK)). KEK harus menjadi kunci RSA-HSM yang dapat melakukan operasi kunci import saja. Hanya Key Vault Premium dan HSM Terkelola yang mendukung kunci RSA-HSM.
  • Unduh kunci publik KEK sebagai file .pem.
  • Transfer kunci publik KEK ke komputer offline yang terhubung ke HSM lokal.
  • Di komputer offline, gunakan alat BYOK yang disediakan oleh vendor HSM Anda untuk membuat file BYOK.
  • Kunci target dienkripsi dengan menggunakan KEK, yang tetap dienkripsi sampai ditransfer ke HSM Key Vault. Hanya versi terenkripsi kunci Anda yang meninggalkan HSM di lokasi.
  • KEK yang dihasilkan di dalam Key Vault HSM tidak dapat diekspor. HSM memberlakukan aturan bahwa tidak ada versi KEK yang jelas di luar Key Vault HSM.
  • KEK harus berada di brankas kunci yang sama dengan tempat Anda mengimpor kunci target.
  • Saat Anda mengunggah file BYOK ke Key Vault, Key Vault HSM menggunakan kunci privat KEK untuk mendekripsi materi kunci target dan mengimpornya sebagai kunci HSM. Operasi ini sepenuhnya terjadi di dalam HSM dari Key Vault. Kunci target selalu berada di batas perlindungan HSM.

Prasyarat

Tabel berikut ini mencantumkan prasyarat untuk menggunakan BYOK di Azure Key Vault:

Persyaratan Informasi selengkapnya
Langganan Azure Untuk membuat brankas kunci di Azure Key Vault, Anda memerlukan langganan Azure. Daftar untuk percobaan gratis.
Key Vault Premium atau Managed HSM untuk mengimpor kunci yang dilindungi oleh HSM Untuk informasi selengkapnya tentang tingkat layanan dan kemampuan di Azure Key Vault, lihat harga Key Vault.
HSM dari daftar HSM yang didukung, serta alat dan instruksi BYOK yang disediakan oleh vendor HSM Anda Anda harus memiliki hak akses ke HSM dan pengetahuan dasar tentang penggunaan HSM. Lihat HSM yang Didukung.
Azure CLI versi 2.1.0 atau yang lebih baru Lihat Install Azure CLI.

HSM yang didukung

Nama vendor Jenis Vendor Model HSM yang didukung Informasi selengkapnya
Kriptomatik ISV (Sistem Manajemen Kunci Perusahaan) Beberapa merek dan model HSM termasuk
  • nCipher
  • Thales
  • Utimaco
 Lihat Situs kriptomatik untuk detailnya.
Mempercayakan Produsen,
HSM sebagai layanan
  • Keluarga HSM nShield
  • nShield sebagai layanan
 Alat dan dokumentasi BYOK nCipher
Fortanix Produsen,
HSM sebagai layanan
  • Layanan Manajemen Kunci dengan Perlindungan Mandiri (SDKMS)
  • Equinix SmartKey
 Ekspor kunci SDKMS ke Penyedia Cloud untuk BYOK - Azure Key Vault
Futurex Produsen,
HSM sebagai layanan
  • CryptoHub
  • CryptoHub Cloud
  • KMES Seri 3
 Panduan Integrasi Futurex - Azure Key Vault
IBM Produsen IBM 476x, CryptoExpress IBM Unified Key Orchestrator untuk Kontainer
Marvell Produsen Semua HSM LiquidSecurity dengan
  • Firmware versi 2.0.4 atau yang lebih baru
  • Firmware versi 3.2 atau yang lebih baru
 Alat dan dokumentasi BYOK Marvell
nCipher Produsen,
HSM sebagai layanan
  • Keluarga HSM nShield
  • nShield sebagai layanan
 Alat dan dokumentasi BYOK nCipher
Securosys SA Produsen,
HSM sebagai layanan		 Keluarga Primus HSM, Securosys Clouds HSM Alat dan dokumentasi BYOK Primus
StorMagic ISV (Sistem Manajemen Kunci Perusahaan) Beberapa merek dan model HSM termasuk
  • Utimaco
  • Thales
  • nCipher
 Lihat situs StorMagic untuk detailnya. SvKMS dan Azure Key Vault BYOK
Thales Produsen
  • Luna HSM 7 keluarga dengan firmware versi 7.3 atau lebih baru
 Alat dan dokumentasi BYOK Luna
Utimaco Produsen,
HSM sebagai layanan		 u.trust Anchor, CryptoServer Alat Utimaco BYOK dan panduan integrasi
Yubico Produsen YubiHSM 2 Panduan Pengguna YubiHSM 2 BYOK untuk Azure

Jenis kunci yang didukung

Nama kunci Jenis Kunci Ukuran kunci atau kurva Asal Deskripsi
Kunci Pertukaran Kunci (KEK) RSA-HSM 2.048-bit
3.072-bit
4.096-bit		 Azure Key Vault HSM Pasangan kunci RSA yang didukung HSM yang dihasilkan dalam Azure Key Vault
Kunci target
RSA-HSM 2.048-bit
3.072-bit
4.096-bit		 Penyedia HSM Kunci yang digunakan untuk transfer ke HSM Azure Key Vault.
EC-HSM P-256
P-384
P-521		 Penyedia HSM Kunci yang digunakan untuk transfer ke HSM Azure Key Vault.
OCT-HSM 128-bit
192-bit
256-bit		 Penyedia HSM Kunci yang digunakan untuk transfer ke HSM Azure Key Vault. Hanya didukung pada Azure Key Vault Managed HSM.

Catatan

RSA dan EC adalah jenis kunci perangkat lunak yang didukung layanan sebagai jenis kunci target untuk pengujian. Anda mentransfer jenis kunci ini ke layanan Key Vault Service daripada ke HSM Key Vault.

Hasilkan dan transfer kunci Anda ke HSM Premium Key Vault atau HSM Terkelola

Untuk menghasilkan dan mentransfer kunci Anda ke Key Vault Premium atau HSM Terkelola:

Membuat KEK

Buat KEK sebagai kunci RSA dalam Key Vault Premium atau HSM Terkelola. Gunakan KEK untuk mengenkripsi kunci yang ingin Anda impor (kunci target ).

KEK harus berupa:

  • Kunci RSA-HSM (2.048-bit, 3.072-bit, atau 4.096-bit).
  • Dibuat di brankas kunci yang sama tempat Anda akan mengimpor kunci target.
  • Dibuat dengan operasi kunci yang diperbolehkan disetel ke import

Catatan

KEK harus memiliki import sebagai satu-satunya operasi kunci yang diizinkan. Operasi import ini bersifat eksklusif dengan semua operasi kunci lainnya.

Gunakan perintah az keyvault key create untuk membuat KEK dengan operasi kunci yang diatur ke import. Rekam pengidentifikasi kunci (kid) yang dikembalikan dari perintah berikut. Gunakan nilai di kidLangkah 3.

az keyvault key create --kty RSA-HSM --size 4096 --name KEKforBYOK --ops import --vault-name <vault-name>

Untuk HSM Terkelola:

az keyvault key create --kty RSA-HSM --size 4096 --name KEKforBYOK --ops import --hsm-name <hsm-name>

Mengunduh kunci publik KEK

Gunakan unduhan kunci az keyvault untuk mengunduh kunci publik KEK ke file .pem. Kunci publik KEK mengenkripsi kunci target yang Anda impor.

az keyvault key download --name KEKforBYOK --vault-name <vault-name> --file KEKforBYOK.publickey.pem

Untuk HSM Terkelola:

az keyvault key download --name KEKforBYOK --hsm-name <hsm-name> --file KEKforBYOK.publickey.pem

Transfer file ke KEKforBYOK.publickey.pem komputer luring Anda. Anda memerlukan file ini di langkah berikutnya.

Buat dan siapkan kunci Anda untuk transfer

Lihat dokumentasi vendor HSM Anda untuk mengunduh dan memasang alat BYOK. Ikuti instruksi dari vendor HSM Anda untuk membuat kunci target, lalu buat paket transfer kunci (file BYOK).

Alat BYOK menggunakan kid dari Langkah 1 dan file KEKforBYOK.publickey.pem yang Anda unduh di Langkah 2 untuk menghasilkan kunci target terenkripsi dalam file BYOK.

Transfer file BYOK ke komputer Anda yang terhubung.

Catatan

Mengimpor kunci Kurva Elips dengan kurva P-256K didukung.

Masalah yang dikenal: Mengimpor kunci target RSA 4K dari HSM Luna hanya didukung dengan firmware 7.4.0 atau lebih baru.

Transfer kunci Anda ke Azure Key Vault

Untuk menyelesaikan impor kunci, transfer paket transfer kunci (file BYOK) dari komputer Anda yang terputus ke komputer yang terhubung ke internet. Gunakan perintah az keyvault key import untuk mengunggah file BYOK ke Key Vault HSM.

Untuk mengimpor kunci RSA, gunakan perintah berikut. Parameter --kty bersifat opsional dan default ke RSA-HSM.

az keyvault key import --vault-name <vault-name> --name <key-name> --byok-file KeyTransferPackage-<key-name>.byok

Untuk HSM Terkelola:

az keyvault key import --hsm-name <hsm-name> --name <key-name> --byok-file KeyTransferPackage-<key-name>.byok

Untuk mengimpor kunci EC, Anda harus menentukan jenis kunci dan nama kurva.

az keyvault key import --vault-name <vault-name> --name <key-name> --kty EC-HSM --curve-name "P-256" --byok-file KeyTransferPackage-<key-name>.byok

Untuk HSM Terkelola:

az keyvault key import --hsm-name <hsm-name> --name <key-name> --kty EC-HSM --curve-name "P-256" --byok-file KeyTransferPackage-<key-name>.byok

Jika unggahan berhasil, Azure CLI menampilkan properti kunci yang diimpor.

Menggunakan AI untuk memecahkan masalah transfer kunci BYOK

GitHub Copilot dapat membantu Anda memecahkan masalah dengan proses transfer kunci BYOK dan menghasilkan perintah yang benar untuk vendor HSM spesifik Anda.

I'm trying to import an HSM-protected key to Azure Key Vault using BYOK. I have a Thales Luna HSM and I'm getting an error during the key transfer. Help me with:
1. The correct sequence of commands to generate a KEK in Azure Key Vault
2. How to download and verify the KEK public key
3. The Azure CLI command to import the wrapped key file
My key vault name is "mycompany-prod-kv" and I want to import an RSA 4096-bit key named "encryption-master-key".

GitHub Copilot didukung oleh AI, sehingga kejutan dan kesalahan dimungkinkan. Untuk informasi selengkapnya, lihat FAQ Copilot.

Langkah berikutnya

Anda sekarang dapat menggunakan kunci yang dilindungi HSM ini di brankas kunci Anda. Untuk informasi selengkapnya, lihat perbandingan harga dan fitur .

  • Terakhir diperbarui pada