Миграция шлюзов ExpressRoute с общедоступным IP-адресом уровня "Базовый" для выделенного HSM

Microsoft продлила поддержку шлюза ExpressRoute с SKU «Базовый общедоступный IP-адрес», используемого службой Выделенное устройство HSM Azure, до 31 марта 2027 г. Если в вашем развертывании выделенного HSM используется SKU "Базовый" для общедоступного IP-адреса, завершите миграцию до этой даты, чтобы сохранить подключение.

Выделенное устройство HSM Azure использует шлюз ExpressRoute и канал, управляемый службой, для подключения выделенного виртуального сетевого интерфейса HSM к виртуальной сети. Этот шлюз нельзя перенести с помощью стандартного процесса миграции шлюза ExpressRoute. Стандартный процесс не поддерживает виртуальную сеть, содержащую выделенный модуль HSM.

Caution

Не изменяйте, не удаляйте или повторно создайте шлюз ExpressRoute в существующей выделенной среде HSM. Эти действия нарушают управляемый службой канал и делают развертывание выделенного устройства HSM недоступным.

Не отключайте питание и не освобождайте ресурсы выделенного HSM, чтобы он стал доступен для стандартного процесса миграции шлюза ExpressRoute. Вы не можете самостоятельно включить устройство. Для восстановления требуется запрос в службу поддержки Azure, и это может значительно продлить период простоя.

Поддерживаемый сценарий миграции заключается в развертывании новой среды Dedicated HSM со шлюзом ExpressRoute SKU Standard, настройке высокой доступности между существующей и новой средами, а затем переносе рабочих нагрузок.

Microsoft не имеет доступа к вашим выделенным устройствам HSM, ключевому материалу или средствам автоматизации рабочих нагрузок. Вы несете ответственность за планирование и завершение миграции.

Important

Выделенное устройство HSM Azure выходит на пенсию 31 июля 2028 года. Попробуйте выполнить миграцию непосредственно в Azure Cloud HSM или Azure Key Vault Managed HSM.

Если вы не сможете завершить эту миграцию службы до 31 марта 2027 года, сначала перенесите среду Dedicated HSM в шлюз ExpressRoute SKU Standard. Затем завершите миграцию службы до даты вывода из эксплуатации Dedicated HSM.

Подготовка к миграции

Прежде чем начать:

  • Инвентаризация приложений и рабочих нагрузок, которые подключаются к существующей выделенной среде HSM.
  • Убедитесь, что в целевом регионе можно развернуть необходимую емкость выделенного устройства HSM. Перед развертыванием новых HSM может потребоваться запросить увеличение квоты для целевой подписки.
  • Запланируйте окно обслуживания для изменений подключения приложения.
  • Проверьте конфигурацию высокой доступности и убедитесь, что существующие модули HSM исправны.
  • Подготовьте тесты приложений и операционных проверок для новой среды.

В регионах Западная Европа, Северная Европа, Восточная часть США, Восточная часть США 2 и Западная часть США ресурсы выделенных HSM могут быть ограничены. В этих регионах может потребоваться использовать последовательную миграцию:

  1. Разверните один новый выделенный HSM.
  2. Добавьте его в существующую группу высокого уровня доступности.
  3. Проверка репликации и подключения к приложению.
  4. Очистите и удалите один старый HSM-модуль, чтобы освободить ёмкость.
  5. Повторяйте этот процесс, пока не перенесёте все модули HSM.

Перед началом работы подтвердите региональную емкость и последовательность миграции с помощью поддержка Azure.

Развертывание новой выделенной среды HSM

Создайте среду со шлюзом ExpressRoute SKU Standard:

  1. Создайте виртуальную сеть.
  2. Создайте шлюз ExpressRoute уровня "Стандартный".
  3. Разверните новые выделенные экземпляры HSM.
  4. Настройте сетевое подключение, маршрутизацию и подключение к приложениям.
  5. Проверка готовности к подключению и эксплуатации.

Не изменяйте шлюз ExpressRoute в существующей выделенной среде HSM.

Настройка высокого уровня доступности

Установите высокий уровень доступности между существующими и новыми выделенными средами HSM:

  1. Создайте необходимые разделы и конфигурации HSM.
  2. Настройте один и тот же домен клонирования в существующих и новых секциях.
  3. Добавьте новые разделы в существующую группу высокой доступности.
  4. Проверьте синхронизацию, работоспособность репликации и доступность ключей из зависимых приложений.

Дополнительные сведения см. в разделе Высокая доступность Выделенное устройство HSM Azure.

Замечание

Не продолжайте, пока обе среды не смогут обслуживать производственные нагрузки и пока репликация не будет работать исправно.

Перенос рабочей нагрузки

Переместите одно приложение или рабочую нагрузку за раз:

  1. Обновите приложение, чтобы подключиться к новой выделенной среде HSM.
  2. Проверка криптографических операций, мониторинга и операционных процедур.
  3. Отслеживайте нагрузку на предмет ошибок или неожиданного поведения.
  4. Повторяйте эти действия, пока все промышленные рабочие нагрузки не начнут использовать новую среду.

Сохраните существующую среду, пока не завершите проверку приложений и операций.

Отмена эксплуатации старой среды

После того как все рабочие нагрузки будут использовать новую среду:

  1. Убедитесь, что приложения не подключаются к старым устройствам HSM.
  2. Убедитесь, что в новом окружении есть необходимый криптографический материал и достаточные ресурсы.
  3. Следуйте инструкциям в разделе Как удалить ресурс HSM, чтобы обнулить и удалить каждый устаревший выделенный модуль HSM.
  4. Удалите старые сетевые ресурсы выделенного устройства HSM только после того, как Azure удаляет все старые ресурсы HSM.

Warning

Не удаляйте группу ресурсов, прежде чем обнулять и удалить каждый выделенный ресурс HSM. Удаление группы ресурсов может оставить HSM в потерянном состоянии, пока выставление счетов продолжается.

Почему не удается использовать стандартный процесс миграции ExpressRoute?

Выделенное подключение HSM использует канал ExpressRoute, управляемый службой, который привязывает выделенный интерфейс виртуальной сети HSM к шлюзу ExpressRoute. Стандартные сетевые операции не могут повторно создать или перенести этот канал.

Не выполняйте следующие действия в существующей среде:

  • Не выполняйте миграцию существующего шлюза с SKU "Базовый" для общедоступного IP-адреса на SKU "Стандартный".
  • Не изменяйте конфигурацию шлюза ExpressRoute.
  • Не удаляйте или повторно создайте шлюз ExpressRoute.

Разверните новую среду и переместите рабочие нагрузки вместо изменения шлюза в существующей среде.

Связанные материалы

  • Последнее обновление: