Arquitetura de implementação do Azure Dedicated HSM
O Azure Dedicated HSM fornece armazenamento de chaves criptográficas no Azure. Cumpre requisitos de segurança rigorosos. Os clientes beneficiarão da utilização do Azure Dedicated HSM se:
- Tem de cumprir a certificação FIPS 140-2 Nível 3
- Exigir que tenham acesso exclusivo ao HSM
- deve ter controlo total dos respetivos dispositivos
Os HSMs são distribuídos pelos datacenters da Microsoft e podem ser facilmente aprovisionados como um par de dispositivos como base de uma solução de elevada disponibilidade. Também podem ser implementadas em várias regiões para uma solução resiliente a desastres. As regiões com o HSM dedicado atualmente disponíveis podem ser verificadas através da página Produtos por Região.
- E.U.A. Leste
- E.U.A. Leste 2
- E.U.A. Oeste
- E.U.A. Oeste 2
- Leste do Canadá
- Canadá Central
- E.U.A. Centro-Sul
- Sudeste Asiático
- Índia Central
- Índia do Sul
- Leste do Japão
- Oeste do Japão
- Europa do Norte
- Europa Ocidental
- Sul do Reino Unido
- Oeste do Reino Unido
- Leste da Austrália
- Austrália Sudeste
- Norte da Suíça
- Oeste da Suíça
- US Gov - Virginia
- US Gov - Texas
Cada uma destas regiões tem racks HSM implementados em dois datacenters independentes ou, pelo menos, em duas zonas de disponibilidade independentes. O Sudeste Asiático tem três zonas de disponibilidade e a região E.U.A. Leste 2 tem duas. Existe um total de vinte e três regiões em toda a Europa, Ásia e América do Norte que oferecem o serviço HSM dedicado. Para obter mais informações sobre as regiões do Azure, veja as informações oficiais sobre as regiões do Azure. Alguns fatores de conceção para qualquer solução dedicada baseada em HSM são localização/latência, elevada disponibilidade e suporte para outras aplicações distribuídas.
Localização do dispositivo
A localização ideal do dispositivo HSM está mais próxima das aplicações que realizam operações criptográficas. Espera-se que a latência na região seja de milissegundos de um dígito. A latência entre regiões pode ser 5 a 10 vezes superior a esta.
Elevada disponibilidade
Para alcançar uma elevada disponibilidade, um cliente tem de utilizar dois dispositivos HSM numa região configurada com software Thales como um par de elevada disponibilidade. Este tipo de implementação garante a disponibilidade de chaves se um único dispositivo tiver um problema ao impedi-lo de processar operações de chaves. Também reduz significativamente o risco ao efetuar uma manutenção de interrupção/correção, como a substituição da fonte de alimentação. É importante que uma estrutura tenha em conta qualquer tipo de falha de nível regional. As falhas a nível regional podem ocorrer quando há desastres naturais, como furacões, inundações ou terramotos. Estes tipos de eventos devem ser mitigados através do aprovisionamento de dispositivos HSM noutra região. Os dispositivos implementados noutra região podem ser emparelhados através da configuração de software da Thales. Isto significa que a implementação mínima para uma solução altamente disponível e resiliente a desastres é de quatro dispositivos HSM em duas regiões. A redundância local e a redundância entre regiões podem ser utilizadas como linha de base para adicionar outras implementações de dispositivos HSM para suportar latência, capacidade ou para cumprir outros requisitos específicos da aplicação.
Suporte de aplicações distribuídas
Normalmente, os dispositivos HSM dedicados são implementados em suporte de aplicações que precisam de realizar operações de armazenamento de chaves e obtenção de chaves. Os dispositivos HSM dedicados têm 10 partições para suporte de aplicações independentes. A localização do dispositivo deve basear-se numa vista holística de todas as aplicações que precisam de utilizar o serviço.
Passos seguintes
Assim que a arquitetura de implementação for determinada, a maioria das atividades de configuração para implementar essa arquitetura será fornecida pela Thales. Isto inclui a configuração do dispositivo, bem como cenários de integração de aplicações. Para obter mais informações, utilize o portal de suporte ao cliente da Thales e transfira os guias de administração e configuração. O site de parceiros da Microsoft tem uma variedade de guias de integração. Recomenda-se que todos os principais conceitos do serviço, como elevada disponibilidade e segurança, por exemplo, sejam bem compreendidos antes do aprovisionamento de dispositivos ou da conceção e implementação da aplicação. Outros tópicos de nível de conceito: