你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

Azure 密钥保管库可用性和冗余

Azure Key Vault 具有多层冗余功能,确保密钥和机密持续可供应用程序使用,即使服务的单个组件发生故障,或者 Azure 区域或可用性区域不可用时也是如此。

注意

本指南适用于保管库。 托管 HSM 池使用不同的高可用性和灾难恢复模型;有关详细信息,请参阅托管 HSM 灾难恢复指南

数据复制

Key Vault 复制数据的方式取决于保管库所在的特定区域。

对于与另一个区域配对的大多数 Azure 区域,密钥保管库的内容将同时复制到该区域和配对区域。 配对区域通常至少距离 150 英里,但在同一地理位置内。 这种方法可确保密钥和机密的高持久性。 有关 Azure 区域对的详细信息,请参阅 Azure 配对区域。 有两个例外,分别是巴西南部区域和美国西部 3 区域,前者与另一地理位置中的区域配对。 在巴西南部或美国西部 3 中创建密钥保管库时,不会跨区域复制它们。

对于非配对 Azure 区域以及巴西南部和美国西部 3 区域,Azure Key Vault 使用区域冗余存储 (ZRS) 来跨独立可用性区域在区域内复制数据三次。 对于 Azure Key Vault 高级版,三个区域中有两个用于复制硬件安全模块 (HSM) 密钥。

还可使用备份和还原功能将保管库的内容复制到所选的另一个区域。

区域内的故障转移

如果密钥保管库服务中的单独组件发生故障,则区域内的替代组件将继续处理请求,确保不会导致功能损失。 无需执行任何操作 - 此过程会自动发生,且相关信息是透明的。

同样,在跨可用性区域复制保管库的区域中,如果可用性区域不可用,Azure Key Vault 会自动将请求重定向到另一个可用性区域,以确保高可用性。

跨区域故障转移

如果你位于自动将密钥保管库复制到次要区域的区域,则在整个 Azure 区域不可用的情况下(这很少见),对该区域中的 Azure Key Vault 发出的请求会自动路由(“故障转移”)到次要区域。 当主要区域再次可用时,请求将路由回(“故障回复” )到主要区域。 同样,不需要采取任何措施,因为这会自动发生。

重要

以下区域不支持跨区域故障转移:

所有其他区域都使用读取访问异地冗余存储 (RA-GRS) 在配对区域之间复制数据。 有关详细信息,请参阅 Azure 存储冗余:次要区域中的冗余

在不支持自动复制到次要区域的区域中,必须规划在区域故障情况中恢复 Azure 密钥保管库。 若要备份 Azure 密钥保管库并还原到所选区域,请完成 Azure Key Vault 备份中详细介绍的步骤。

通过这种高可用性设计,Azure 密钥保管库不需要停机进行维护活动。

应注意以下几个事项:

  • 发生区域故障转移时,可能需要等待几分钟让服务故障转移。 在故障转移之前的这段时间内发出的请求可能会失败。

  • 如果要使用专用链接连接到密钥保管库,则在出现区域故障转移时,重新建立此连接可能需要长达 20 分钟的时间。

  • 在故障转移期间,密钥保管库处于只读模式。 在只读模式中支持以下操作:

    • 列出证书
    • 获取证书
    • 列出机密
    • 获取机密
    • 列出密钥
    • 获取密钥(属性)
    • 加密
    • 解密
    • 包装
    • 解包
    • Verify
    • 签名
    • 备份

在故障转移期间,你无法更改密钥保管库属性。 你无法更改访问策略或防火墙配置和设置。

故障回复之后,所有请求类型(包括读取写入请求)都将可用。

后续步骤