Mengaktifkan replikasi multi-wilayah di Azure Managed HSM
Replikasi multi-wilayah memungkinkan Anda memperluas kumpulan HSM terkelola dari satu wilayah Azure (disebut primer) ke wilayah Azure lain (disebut sekunder). Setelah dikonfigurasi, kedua wilayah aktif, dapat melayani permintaan dan, dengan replikasi otomatis, berbagi materi kunci, peran, dan izin yang sama. Wilayah terdekat yang tersedia dengan aplikasi menerima dan memenuhi permintaan, sehingga memaksimalkan throughput baca dan latensi. Meskipun pemadaman regional jarang terjadi, replikasi multi-wilayah meningkatkan ketersediaan kunci kriptografi misi penting jika satu wilayah menjadi tidak tersedia. Untuk informasi selengkapnya tentang SLA, kunjungi SLA untuk Azure Key Vault Managed HSM.
Sistem
Ketika replikasi multi-wilayah diaktifkan pada HSM terkelola, kumpulan HSM terkelola kedua, dengan tiga partisi HSM seimbang beban, dibuat di wilayah sekunder. Ketika permintaan dikeluarkan ke titik <hsm-name>.managedhsm.azure.netakhir DNS global Traffic Manager, wilayah terdekat yang tersedia menerima dan memenuhi permintaan. Meskipun setiap wilayah secara individual mempertahankan ketersediaan tinggi regional karena distribusi HSM di seluruh wilayah, manajer lalu lintas memastikan bahwa bahkan jika semua partisi HSM terkelola di satu wilayah tidak tersedia karena bencana, permintaan masih dapat dilayani oleh kumpulan HSM terkelola sekunder.
Latensi replikasi
Setiap operasi tulis ke HSM Terkelola, seperti membuat atau memperbarui kunci, membuat atau memperbarui definisi peran, atau membuat atau memperbarui penetapan peran, mungkin memakan waktu hingga 6 menit sebelum kedua wilayah sepenuhnya direplikasi. Dalam jendela ini, tidak dijamin bahwa materi tertulis telah direplikasi antar wilayah. Oleh karena itu, yang terbaik adalah menunggu enam menit antara membuat atau memperbarui kunci dan menggunakan kunci untuk memastikan bahwa materi kunci telah sepenuhnya direplikasi antar wilayah. Hal yang sama berlaku untuk penetapan peran dan definisi peran.
Perilaku failover
Failover terjadi ketika salah satu wilayah di HSM Terkelola multi-wilayah menjadi tidak tersedia karena pemadaman dan wilayah lain mulai melayani semua permintaan. Pemadaman mungkin hanya terbatas pada kumpulan HSM Anda, seluruh layanan HSM Terkelola, atau seluruh wilayah Azure. Selama failover, Anda mungkin melihat perubahan perilaku tergantung pada wilayah yang terpengaruh.
| Wilayah yang Terpengaruh | Bacaan Diperbolehkan | Penulisan Diperbolehkan |
|---|---|---|
| Sekunder | Ya | Ya |
| Primer | Ya | Mungkin |
Jika wilayah sekunder menjadi tidak tersedia, operasi baca (dapatkan kunci, kunci daftar, semua operasi kripto, penetapan peran daftar) tersedia jika wilayah utama hidup. Operasi tulis (membuat dan memperbarui kunci, membuat dan memperbarui penetapan peran, membuat dan memperbarui definisi peran) juga tersedia.
Jika wilayah utama tidak tersedia, operasi baca tersedia, tetapi operasi tulis mungkin tidak, tergantung pada cakupan pemadaman.
Waktu untuk failover
Di bawah tenda, resolusi DNS menangani pengalihan permintaan ke wilayah utama atau sekunder.
Jika kedua wilayah aktif, Traffic Manager menyelesaikan permintaan masuk ke lokasi yang memiliki kedekatan geografis terdekat atau latensi jaringan terendah dengan asal permintaan. Rekaman DNS dikonfigurasi dengan TTL default 5 detik.
Jika suatu wilayah melaporkan status tidak sehat ke Traffic Manager, permintaan mendatang diselesaikan ke wilayah lain jika tersedia. Klien yang melakukan penembolokan pencarian DNS mungkin mengalami waktu failover yang diperpanjang. Tetapi setelah cache sisi klien kedaluwarsa, permintaan di masa mendatang harus dirutekan ke wilayah yang tersedia.
Dukungan wilayah Azure
Wilayah berikut didukung sebagai wilayah utama (Wilayah tempat Anda dapat mereplikasi kumpulan HSM Terkelola)
- US Timur
- US Timur 2
- US North
- Eropa Barat
- Barat AS
- Kanada Timur
- Qatar Tengah
- Asia Timur
- Asia Tenggara
- UK Selatan
- US Tengah
- Jepang Timur
- Swiss Utara
- Brasil Selatan
- Australia Tengah
- India Tengah
- AS Bagian Barat 3
- Kanada Tengah
- Australia Timur
- India Selatan
- Swedia Tengah
- Afrika Selatan Utara
- Korea Tengah
- Eropa Utara
- Prancis Tengah
- Jepang Barat
- Tengah Selatan AS
- Polandia Tengah
- Swiss Barat
- Australia Tenggara
- India Barat
- UAE Tengah
- Arab Saudi Utara
- AS Barat 2
- Barat Sentral AS
Catatan
AS Tengah, AS Timur, US Selatan Tengah, US Barat 2, Swiss Utara, Eropa Barat, India Tengah, Kanada Tengah, Kanada Timur, Jepang Barat, Qatar Tengah, Polandia Tengah dan US Barat Tengah tidak dapat diperpanjang sebagai wilayah sekunder saat ini. Wilayah lain mungkin tidak tersedia untuk ekstensi karena keterbatasan kapasitas di wilayah tersebut.
Billing
Replikasi multi-wilayah ke wilayah sekunder menimbulkan penagihan tambahan (x2), karena kumpulan HSM baru digunakan di wilayah sekunder. Untuk informasi selengkapnya, lihat Harga Azure Managed HSM.
Perilaku penghapusan sementara
Fitur penghapusan sementara HSM Terkelola memungkinkan pemulihan HSM dan kunci yang dihapus namun dalam skenario yang diaktifkan replikasi multi-wilayah, ada perbedaan halus di mana HSM sekunder harus dihapus sebelum penghapusan sementara dapat dijalankan pada HSM utama. Selain itu, ketika sekunder dihapus, sekunder akan segera dihapus menyeluruh dan tidak masuk ke status penghapusan sementara yang menghentikan semua penagihan untuk sekunder. Anda selalu dapat memperluas ke wilayah baru sebagai sekunder dari primer jika diperlukan.
Perilaku tautan privat dengan replikasi Multi-wilayah
Fitur Azure Private Link memungkinkan Anda mengakses layanan HSM Terkelola melalui titik akhir privat di jaringan virtual Anda. Anda akan mengonfigurasi titik akhir privat pada HSM Terkelola di wilayah utama seperti yang Anda lakukan saat tidak menggunakan fitur replikasi multi-wilayah. Untuk HSM Terkelola di wilayah sekunder, disarankan untuk membuat titik akhir privat lain setelah HSM Terkelola di wilayah utama direplikasi ke HSM Terkelola di wilayah sekunder. Ini akan mengalihkan permintaan klien ke HSM Terkelola yang paling dekat dengan lokasi klien.
Beberapa skenario di bawah ini dengan contoh: HSM Terkelola di wilayah utama (UK Selatan) dan HSM Terkelola lainnya di wilayah sekunder (US Barat Tengah).
Ketika HSM Terkelola di wilayah utama dan sekunder aktif dan berjalan dengan titik akhir privat diaktifkan, permintaan klien dialihkan ke HSM Terkelola yang paling dekat dengan lokasi klien. Permintaan klien masuk ke titik akhir privat wilayah terdekat dan kemudian diarahkan ke HSM Terkelola wilayah yang sama oleh manajer lalu lintas.
Ketika salah satu HSM Terkelola (UK Selatan, sebagai contoh) dalam skenario replikasi multiregsi tidak tersedia dengan titik akhir privat diaktifkan, maka permintaan klien dialihkan ke HSM Terkelola (US Barat Tengah) yang tersedia. Permintaan klien dari Inggris selatan akan masuk ke titik akhir privat Inggris selatan terlebih dahulu dan kemudian diarahkan ke HSM Terkelola Sentral AS barat oleh manajer lalu lintas.
HSM terkelola di wilayah primer dan sekunder tetapi hanya satu titik akhir privat yang dikonfigurasi baik di primer atau sekunder. Untuk klien dari VNET (VNET1) yang berbeda untuk terhubung ke HSM Terkelola melalui titik akhir privat di VNET (VNET2) yang berbeda, ia memerlukan peering VNET antara dua VNET. Anda dapat menambahkan tautan VNET untuk zona DNS privat yang dibuat selama pembuatan titik akhir privat.
Dalam diagram di bawah ini, titik akhir privat hanya dibuat di wilayah UK Selatan, sementara ada dua HSM Terkelola yang aktif dan berjalan masing-masing di Inggris Selatan dan yang lainnya di US Barat Tengah. Permintaan dari kedua klien pergi ke UK South Managed HSM karena permintaan dirutekan melalui titik akhir privat dan lokasi titik akhir privat dalam hal ini berada di Inggris selatan.
Dalam diagram di bawah ini, titik akhir privat hanya dibuat di wilayah Selatan Inggris, hanya HSM Terkelola di US Barat Tengah yang tersedia dan HSM Terkelola di Inggris Selatan tidak tersedia. Dalam hal ini, permintaan akan dialihkan ke US West Central Managed HSM melalui titik akhir privat di Inggris Selatan karena manajer lalu lintas mendeteksi bahwa HSM Terkelola Selatan UK tidak tersedia.
Perintah Azure CLI
Jika membuat kumpulan HSM Terkelola baru lalu memperluas ke sekunder, lihat instruksi ini sebelum memperluas. Jika memperluas dari kumpulan HSM Terkelola yang sudah ada, maka gunakan instruksi berikut untuk membuat HSM sekunder ke wilayah lain.
Catatan
Perintah ini memerlukan Azure CLI versi 2.48.1 atau yang lebih tinggi. Untuk menginstal versi terbaru, lihat Cara menginstal Azure CLI.
Menambahkan HSM sekunder di wilayah lain
Untuk memperluas kumpulan HSM terkelola ke wilayah lain, jalankan perintah berikut yang akan secara otomatis membuat HSM kedua.
az keyvault region add --hsm-name "ContosoMHSM" --region "australiaeast"
Catatan
"ContosoMHSM" dalam contoh ini adalah nama kumpulan HSM utama; "australiaeast" adalah wilayah sekunder tempat Anda memperluasnya.
Menghapus HSM sekunder di wilayah lain
Setelah Anda menghapus HSM sekunder, partisi HSM di wilayah lain akan dihapus menyeluruh. Semua sekunder harus dihapus sebelum HSM terkelola utama dapat dihapus sementara atau dihapus menyeluruh. Hanya sekunder yang dapat dihapus menggunakan perintah ini. Primer hanya dapat dihapus menggunakan perintah penghapusan sementara dan penghapusan menyeluruh
az keyvault region remove --hsm-name ContosoMHSM --region australiaeast
Mencantumkan semua wilayah
az keyvault region list --hsm-name ContosoMHSM
Langkah berikutnya
Saran dan Komentar
Segera hadir: Sepanjang tahun 2024 kami akan menghentikan penggunaan GitHub Issues sebagai mekanisme umpan balik untuk konten dan menggantinya dengan sistem umpan balik baru. Untuk mengetahui informasi selengkapnya, lihat: https://aka.ms/ContentUserFeedback.
Kirim dan lihat umpan balik untuk