Architektura wdrożenia usługi Azure Dedicated HSM
Dedykowany moduł HSM platformy Azure zapewnia magazyn kluczy kryptograficznych na platformie Azure. Spełnia rygorystyczne wymagania dotyczące zabezpieczeń. Klienci będą korzystać z dedykowanego modułu HSM platformy Azure, jeśli:
- Musi spełniać certyfikat FIPS 140-2 Level-3
- Wymagaj, aby miały wyłączny dostęp do modułu HSM
- powinna mieć pełną kontrolę nad swoimi urządzeniami
Moduły HSM są dystrybuowane w centrach danych firmy Microsoft i można je łatwo aprowizować jako parę urządzeń jako podstawę rozwiązania o wysokiej dostępności. Mogą one być również wdrażane w różnych regionach na potrzeby rozwiązania odpornego na awarie. Regiony z dostępnym obecnie dedykowanym modułem HSM można sprawdzić przy użyciu strony Produkty według regionów.
- East US
- Wschodnie stany USA 2
- Zachodnie stany USA
- Zachodnie stany USA 2
- Kanada Wschodnia
- Kanada Środkowa
- South Central US
- Southeast Asia
- Indie Środkowe
- Indie Południowe
- Japonia Wschodnia
- Japonia Zachodnia
- Europa Północna
- West Europe
- Południowe Zjednoczone Królestwo
- Zachodnie Zjednoczone Królestwo
- Australia Wschodnia
- Australia Południowo-Wschodnia
- Szwajcaria Północna
- Szwajcaria Zachodnia
- US Gov Wirginia
- US Gov Teksas
Każdy z tych regionów ma stojaki HSM wdrożone w dwóch niezależnych centrach danych lub co najmniej dwóch niezależnych strefach dostępności. Azja Południowo-Wschodnia ma trzy strefy dostępności, a wschodnie stany USA 2 mają dwa. Istnieje łącznie dwadzieścia trzy regiony w Europie, Azji i Ameryka Północna, które oferują dedykowaną usługę HSM. Aby uzyskać więcej informacji na temat regionów świadczenia usługi Azure, zobacz oficjalne informacje o regionach świadczenia usługi Azure. Niektóre czynniki projektowe dla dowolnego dedykowanego rozwiązania opartego na module HSM to lokalizacja/opóźnienie, wysoka dostępność i obsługa innych aplikacji rozproszonych.
Lokalizacja urządzenia
Optymalna lokalizacja urządzenia HSM znajduje się najbliżej aplikacji wykonujących operacje kryptograficzne. Oczekuje się, że opóźnienie w regionie będzie jednocyfrowe w milisekundach. Opóźnienie między regionami może być od 5 do 10 razy wyższe niż w tym przypadku.
Wysoka dostępność
Aby zapewnić wysoką dostępność, klient musi używać dwóch urządzeń HSM w regionie skonfigurowanym przy użyciu oprogramowania Firmy Thales jako pary wysokiej dostępności. Ten typ wdrożenia zapewnia dostępność kluczy, jeśli pojedyncze urządzenie napotyka problem uniemożliwiający przetwarzanie kluczowych operacji. Znacznie zmniejsza to również ryzyko podczas przeprowadzania przerwy/naprawy konserwacji, takiej jak wymiana zasilacza. Ważne jest, aby projekt uwzględniał wszelkiego rodzaju awarie na poziomie regionalnym. Awarie na poziomie regionalnym mogą wystąpić, gdy występują klęski żywiołowe, takie jak huragany, powodzie lub trzęsienia ziemi. Te typy zdarzeń powinny być ograniczane przez aprowizowanie urządzeń HSM w innym regionie. Urządzenia wdrożone w innym regionie mogą być sparowane razem za pośrednictwem konfiguracji oprogramowania firmy Thales. Oznacza to, że minimalne wdrożenie rozwiązania o wysokiej dostępności i odporne na awarie to cztery urządzenia HSM w dwóch regionach. Lokalna nadmiarowość i nadmiarowość między regionami mogą być używane jako punkt odniesienia, aby dodać kolejne wdrożenia urządzeń HSM w celu obsługi opóźnień, pojemności lub spełnienia innych wymagań specyficznych dla aplikacji.
Obsługa aplikacji rozproszonych
Dedykowane urządzenia HSM są zwykle wdrażane w obsłudze aplikacji, które muszą wykonywać operacje przechowywania kluczy i pobierania kluczy. Dedykowane urządzenia HSM mają 10 partycji na potrzeby niezależnej obsługi aplikacji. Lokalizacja urządzenia powinna być oparta na całościowym widoku wszystkich aplikacji, które muszą korzystać z usługi.
Następne kroki
Po określeniu architektury wdrażania większość działań konfiguracyjnych w celu zaimplementowania tej architektury będzie dostarczana przez firmę Thales. Obejmuje to konfigurację urządzenia, a także scenariusze integracji aplikacji. Aby uzyskać więcej informacji, skorzystaj z portalu pomocy technicznej klienta firmy Thales i pobierz przewodniki administracyjne i konfiguracyjne. Witryna partnera firmy Microsoft zawiera różne przewodniki dotyczące integracji. Zaleca się, aby wszystkie kluczowe pojęcia usługi, takie jak wysoka dostępność i zabezpieczenia, były dobrze zrozumiałe przed aprowizowaniem urządzeń lub projektowaniem i wdrażaniem aplikacji. Więcej tematów dotyczących poziomu koncepcji: