Migrare HSM dedicato dallo SKU Basic di ExpressRoute

Microsoft ha esteso il supporto per il gateway ExpressRoute SKU Basic utilizzato da HSM dedicato di Azure fino al 31 marzo 2027. Se la distribuzione di Dedicated HSM utilizza lo SKU Basic, completare la migrazione prima di questa data per mantenere la connettività.

HSM dedicato di Azure usa un gateway ExpressRoute e un circuito gestito dal servizio per connettere l'interfaccia di rete virtuale HSM dedicata alla rete virtuale. Non è possibile eseguire la migrazione di questo gateway usando il processo di migrazione del gateway ExpressRoute standard. Il processo standard non supporta una rete virtuale che contiene un modulo di protezione hardware dedicato.

Il percorso di migrazione supportato consiste nel distribuire un nuovo ambiente HSM dedicato che usa un gateway ExpressRoute SKU Standard, stabilire una disponibilità elevata tra gli ambienti esistenti e nuovi e quindi spostare i carichi di lavoro.

Microsoft non ha accesso ai dispositivi HSM dedicati allocati, al materiale chiave o all'automazione del carico di lavoro. Si è responsabili della pianificazione e del completamento della migrazione.

Preparare la migrazione

Prima di iniziare:

• Inventariare applicazioni e carichi di lavoro che si connettono all'ambiente HSM dedicato esistente.
• Verificare che sia possibile distribuire la capacità HSM dedicata necessaria nell'area di destinazione. Potrebbe essere necessario richiedere un aumento della quota per la sottoscrizione di destinazione prima di distribuire i nuovi HSM.
• Pianificare una finestra di manutenzione per le modifiche alla connettività dell'applicazione.
• Esaminare la configurazione a disponibilità elevata e verificare che i moduli di protezione hardware esistenti siano integri.
• Preparare i test di convalida operativa e dell'applicazione per il nuovo ambiente.

Europa occidentale, Europa settentrionale, Stati Uniti orientali, Stati Uniti orientali 2 e Stati Uniti occidentali possono avere una capacità limitata di HSM dedicati. In queste aree potrebbe essere necessario usare una migrazione in sequenza:

1. Distribuire un nuovo HSM dedicato.
2. Aggiungerlo al gruppo di disponibilità elevata esistente.
3. Convalidare la replica e la connettività dell'applicazione.
4. Zeroizzare ed eliminare un vecchio HSM per liberare capacità.
5. Ripetere il processo fino a quando non si esegue la migrazione di tutti i moduli di protezione hardware.

Verificare la capacità a livello di area e la sequenza di migrazione con supporto tecnico di Azure prima di iniziare.

Distribuire un nuovo ambiente HSM dedicato

Creare un ambiente che utilizza un gateway ExpressRoute con SKU Standard:

1. Creare una nuova rete virtuale.
2. Crea un gateway ExpressRoute con SKU Standard.
3. Distribuire nuove istanze HSM dedicate.
4. Configurare la rete, il routing e la connettività delle applicazioni.
5. Convalidare la connettività e l'idoneità operativa.

Non modificare il gateway ExpressRoute nell'ambiente HSM dedicato esistente.

Configurare la disponibilità elevata

Stabilire l'alta disponibilità tra l'ambiente Dedicated HSM esistente e quello nuovo:

1. Create le partizioni e le configurazioni HSM necessarie.
2. Configurare lo stesso dominio di clonazione nelle partizioni esistenti e nuove.
3. Aggiungere le nuove partizioni al gruppo di disponibilità elevata esistente.
4. Verificare la sincronizzazione, l'integrità della replica e la disponibilità delle chiavi dalle applicazioni dipendenti.

Per altre informazioni, vedere HSM dedicato di Azure ad alta disponibilità.

Eseguire la migrazione dei carichi di lavoro

Spostare un'applicazione o un carico di lavoro alla volta:

1. Aggiornare l'applicazione per connettersi al nuovo ambiente HSM dedicato.
2. Convalidare operazioni di crittografia, monitoraggio e procedure operative.
3. Monitorare il carico di lavoro per individuare errori o comportamenti imprevisti.
4. Ripetere questi passaggi fino a quando tutti i carichi di lavoro di produzione non usano il nuovo ambiente.

Mantenere disponibile l'ambiente esistente fino a quando non si completa l'applicazione e la convalida operativa.

Dismettere il vecchio ambiente

Dopo che tutti i carichi di lavoro usano il nuovo ambiente:

1. Verificare che nessuna applicazione si connetta ai moduli di protezione hardware precedenti.
2. Verificare che il nuovo ambiente abbia il materiale e la capacità chiave necessari.
3. Seguire Come eliminare una risorsa HSM per azzerare ed eliminare ogni istanza precedente di Dedicated HSM.
4. Eliminare le risorse di rete di HSM dedicato precedenti solo dopo che Azure ha rimosso tutte le risorse HSM precedenti.

Perché non è possibile usare il processo di migrazione ExpressRoute standard?

La connettività HSM dedicata usa un circuito ExpressRoute gestito dal servizio che associa l'interfaccia di rete virtuale HSM dedicata al gateway ExpressRoute. Le operazioni di rete standard non possono ricreare o eseguire la migrazione di questo circuito.

Non eseguire alcuna delle azioni seguenti nell'ambiente esistente:

• Non eseguire la migrazione del gateway esistente dallo SKU Basic allo SKU Standard.
• Non modificare la configurazione del gateway ExpressRoute.
• Non eliminare o ricreare il gateway ExpressRoute.

Distribuire un nuovo ambiente e spostare i carichi di lavoro anziché modificare il gateway nell'ambiente esistente.

Contenuti correlati

• Panoramica su HSM dedicato di Azure
• Rete di HSM dedicato di Azure
• Eseguire la migrazione da HSM dedicato di Azure al modulo di protezione hardware gestito Azure Key Vault o Azure modulo di protezione hardware cloud
• Informazioni sulla migrazione del gateway ExpressRoute