Che cos'è il modulo di protezione hardware gestito di Azure Key Vault?

  • Articolo

Modulo di protezione hardware (HSM) gestito di Azure Key Vault, un servizio cloud completamente gestito, a disponibilità elevata, a tenant singolo e conforme agli standard che consente di proteggere le chiavi crittografiche per le applicazioni cloud tramite moduli di protezione hardware convalidati in base agli standard FIPS 140-2 livello 3. È una delle diverse soluzioni di gestione delle chiavi di in Azure.

Per informazioni sui prezzi, vedere la sezione Pool di moduli di protezione hardware gestiti della pagina dei prezzi di Azure Key Vault. Per i tipi di chiave supportati, vedere Informazioni sulle chiavi.

Il termine "Istanza del modulo di protezione hardware gestito" è sinonimo di "pool di moduli di protezione hardware gestiti". Per evitare confusione, in questi articoli viene usato "Istanza del modulo di protezione hardware gestito".

Nota

Zero Trust è una strategia di sicurezza che comprende tre principi: "verifica esplicita", "accesso con privilegi minimi" e "presunzione di violazione". La protezione dei dati, inclusa la gestione delle chiavi, supporta il principio di "accesso con privilegi minimi". Per altre informazioni, vedere Che cos'è Zero Trust?

Perché usare il modulo di protezione hardware gestito?

Modulo di protezione hardware come servizio completamente gestito, a disponibilità elevata e a tenant singolo

  • Completamente gestito: le attività di provisioning, configurazione, applicazione di patch e manutenzione del modulo di protezione hardware sono gestite dal servizio.
  • A disponibilità elevata: ogni cluster HSM è costituito da più partizioni del modulo di protezione hardware. In caso di guasto dell'hardware, verrà eseguita automaticamente la migrazione delle partizioni membro del cluster di moduli di protezione hardware in nodi integri. Per altre informazioni, vedere Contratti di servizio di Azure
  • Tenant singolo: ogni istanza di modulo di protezione hardware gestito è dedicata a un singolo cliente ed è costituita da un cluster di più partizioni HSM. Ogni cluster di moduli di protezione hardware usa un dominio di sicurezza specifico del cliente, che isola tramite crittografia il cluster di moduli di protezione hardware di ciascun cliente.

Controllo di accesso, protezione avanzata dei dati e conformità

  • Gestione centralizzata: le chiavi con valore elevato di importanza critica nell'intera organizzazione vengono gestite in un'unica posizione. Con le autorizzazioni granulari per chiave è possibile controllare l'accesso a ogni chiave in base al principio dei privilegi di accesso minimi.
  • Controllo di accesso isolato: il modello di controllo degli accessi in base al ruolo locale del modulo di protezione hardware gestito consente agli amministratori designati del cluster di moduli di protezione hardware di avere il controllo completo su tali moduli e nemmeno gli amministratori del gruppo di gestione, della sottoscrizione o del gruppo di risorse possono aggirare questo controllo.
  • Endpoint privati: usare endpoint privati per connettersi in modo sicuro e privato al modulo di protezione hardware gestito dall'applicazione in esecuzione in una rete virtuale.
  • HSM convalidati di Livello 3 FIPS 140-2: è possibile proteggere i dati e soddisfare i requisiti di conformità con i moduli di protezione hardware convalidati in base agli standard FIPS (Federal Information Protection Standard) 140-2 livello 3. I moduli di protezione hardware gestiti usano schede HSM Marvell LiquidSecurity.
  • Monitoraggio e controllo: integrazione completa con Monitoraggio di Azure. È possibile ottenere i log completi di tutte le attività tramite Monitoraggio di Azure e usare Azure Log Analytics per l'analisi e gli avvisi.
  • Residenza dei dati: l'HSM gestito non archivia o elabora i dati dei clienti all'esterno dell'area in cui il cliente distribuisce l'istanza HSM.

Integrazione con i servizi PaaS/SaaS di Azure e Microsoft

Uso delle stesse interfacce API e di gestione di Key Vault

  • È possibile eseguire facilmente la migrazione delle applicazioni esistenti che usano un insieme di credenziali (multi-tenant) per usare i moduli di protezione hardware gestiti.
  • È possibile usare gli stessi modelli di sviluppo e distribuzione di applicazioni per tutte le applicazioni, indipendentemente dalla soluzione di gestione delle chiavi in uso: insiemi di credenziali multi-tenant o moduli di protezione hardware gestiti a tenant singolo.

Importare le chiavi dai moduli di protezione hardware locali

  • È possibile generare chiavi con protezione HSM nel modulo di protezione hardware locale e importarle in modo sicuro nel modulo di protezione hardware gestito.

Passaggi successivi