Поделиться через


Доступность и избыточность хранилища ключей Azure

Azure Key Vault включает несколько уровней избыточности, чтобы убедиться, что ключи и секреты остаются доступными для приложения, даже если отдельные компоненты службы завершаются ошибкой, или если регионы или зоны доступности Azure недоступны.

Примечание.

Это руководство применимо к хранилищам. Управляемые пулы HSM используют другую модель высокого уровня доступности и аварийного восстановления; Дополнительные сведения см . в руководстве по аварийному восстановлению управляемого устройства HSM.

Репликация данных

Способ репликации данных Key Vault зависит от конкретного региона, в который находится хранилище.

Для большинства регионов Azure, которые связаны с другим регионом, содержимое хранилища ключей реплицируется как в пределах региона, так и в парный регион. Парный регион обычно находится по крайней мере в 150 милях, но в пределах того же географического региона. Такой подход обеспечивает высокую устойчивость ключей и секретов. Дополнительные сведения о парах регионов Azure см . в парных регионах Azure. Два исключения — это регион Южной Бразилии, который связан с регионом в другом географическом регионе, а также регионом "Западная часть США 3". При создании хранилищ ключей в Южной Бразилии или западной части США 3 они не реплицируются в разных регионах.

Для непарных регионов Azure и регионов Южной Бразилии и западной части США 3 Azure Key Vault использует избыточное между зонами хранилище (ZRS) для репликации данных в пределах региона в независимых зонах доступности. Для Azure Key Vault Premium два из трех зон используются для репликации ключей аппаратного модуля безопасности (HSM).

Вы также можете использовать функцию резервного копирования и восстановления для репликации содержимого хранилища в другой регион вашего выбора.

Отработка отказа в регионе

Если отдельные компоненты в службе хранилища ключей завершаются сбоем, альтернативные компоненты в регионе, чтобы выполнить запрос, чтобы убедиться, что нет ухудшения функциональности. Вам не нужно предпринимать никаких действий— процесс происходит автоматически и будет прозрачным для вас.

Аналогичным образом, в регионе, в котором хранилище реплицируется по зонам доступности, если зона доступности недоступна, Azure Key Vault автоматически перенаправляет запросы в другую зону доступности, чтобы обеспечить высокий уровень доступности.

Отработка отказа между регионами

Если вы находитесь в регионе, который автоматически реплицирует хранилище ключей в дополнительный регион, то в редких случаях, когда весь регион Azure недоступен, запросы, которые вы делаете Azure Key Vault в этом регионе, автоматически перенаправляются (отработка отказа) в дополнительный регион. Когда основной регион снова становится доступным, запросы отправляются обратно в основной регион (это называется восстановлением размещения). Опять же, так как это происходит автоматически, то никаких дополнительных действий предпринимать не нужно.

Внимание

Отработка отказа между регионами не поддерживается в следующих регионах:

Все остальные регионы используют геоизбыточное хранилище (RA-GRS) для репликации данных между парными регионами. Дополнительные сведения см. в разделе служба хранилища Azure избыточности: избыточность в дополнительном регионе.

В регионах, которые не поддерживают автоматическую репликацию в дополнительный регион, необходимо запланировать восстановление хранилищ ключей Azure в сценарии сбоя региона. Чтобы создать резервную копию хранилища ключей Azure и восстановить его в выбранном регионе, выполните действия, описанные в статье Резервное копирование в Azure Key Vault.

Благодаря своей архитектуре, обеспечивающей высокий уровень доступности, Azure Key Vault не прекращает работу на время обслуживания.

Существует несколько моментов, на которые следует обратить внимание.

  • В случае отработки отказа для региона на отработку отказа службы может потребоваться несколько минут. Запросы, сделанные в течение этого времени до отработки отказа, могут завершиться ошибкой.

  • Если вы используете приватный канал для подключения к хранилищу ключей, это может занять до 20 минут, чтобы повторно установить подключение в случае отработки отказа региона.

  • Во время отработки отказа хранилище ключей используется только для чтения. Следующие операции поддерживаются в режиме только для чтения:

    • Список сертификатов
    • Получение сертификатов
    • Вывод списка секретов
    • получение секретов;
    • Отобразить ключи
    • получение ключей и их свойств;
    • Шифрование
    • расшифровка;
    • Переносить
    • Распаковка
    • Проверка
    • Подписание
    • Резервное копирование

Во время отработки отказа вы не сможете вносить изменения в свойства хранилища ключей. Вы не сможете изменить политику доступа или конфигурации брандмауэра и параметры.

После восстановления размещения становятся доступными все типы запросов (в том числе чтение и запись).

Следующие шаги