O que é o Azure Key Vault Managed HSM?

O Azure Key Vault Managed HSM (Hardware Security Module) é um serviço de nuvem totalmente gerenciado, altamente disponível, de locatário único e compatível com os padrões que permite proteger chaves criptográficas para seus aplicativos em nuvem, usando HSMs validados pelo FIPS 140-3 Nível 3 . É uma das várias soluções de gerenciamento de chaves no Azure.

Para obter informações sobre preços, consulte a seção Pools HSM gerenciados na página de preços do Azure Key Vault. Para tipos de chaves suportados, consulte Sobre chaves no HSM Gerido.

O termo "instância de HSM gerenciada" é sinônimo de "pool de HSM gerenciado". Para evitar confusão, usamos "Instância HSM gerenciada" ao longo destes artigos.

Por que usar o HSM gerenciado?

HSM como serviço totalmente gerido, de elevada disponibilidade e dedicado a um único cliente

• Totalmente gerenciado: o serviço lida com provisionamento, configuração, aplicação de patches e manutenção do HSM.
• Altamente disponível: cada cluster HSM consiste em várias partições HSM. Se o hardware falhar, as partições dos membros do seu cluster HSM são automaticamente migradas para nós operacionais. Para obter mais informações, consulte Contrato de Nível de Serviço do HSM Gerenciado
• Inquilino único: cada instância do HSM Gerido é dedicada a um único cliente e consiste num cluster de várias partições HSM. Cada cluster HSM usa um domínio de segurança separado específico do cliente que isola criptograficamente o cluster HSM de cada cliente.

Controle de acesso, proteção de dados aprimorada e conformidade

• Gerenciamento centralizado de chaves: gerencie chaves críticas e de alto valor em toda a sua organização em um só lugar. Com permissões granulares por chave, controle o acesso a cada chave com base no princípio de "acesso menos privilegiado".
• Controlo de acesso isolado: O modelo de controlo de acesso RBAC local de HSM gerido permite que administradores designados de clusters HSM tenham controlo total sobre os HSMs que mesmo administradores de grupos de gestão, subscrição ou grupos de recursos não conseguem sobrepor.
• Pontos finais privados: utilize pontos finais privados para ligar de forma segura e privada ao Managed HSM a partir da sua aplicação em execução numa rede virtual.
• HSMs validados pelo FIPS 140-3 Nível 3: proteja seus dados e atenda aos requisitos de conformidade com os HSMs validados pelo FIPS (Federal Information Protection Standard) 140-3 Nível 3. Os HSMs gerenciados usam adaptadores HSM Marvell LiquidSecurity.
• Monitor e auditoria: totalmente integrado com o monitor do Azure. Obtenha registos completos de todas as atividades através do Azure Monitor. Use o Azure Log Analytics para análises e alertas.
• Residência de dados: o HSM gerenciado não armazena/processa dados do cliente fora da região em que o cliente implanta a instância do HSM.

Integrado com serviços Azure e Microsoft PaaS/SaaS

• Gere (ou importe usando BYOK) chaves e use-as para criptografar seus dados em repouso nos serviços do Azure, como Armazenamento do Azure, SQL do Azure, Proteção de Informações do Azure e Chave do Cliente para Microsoft 365. Para obter uma lista mais completa dos serviços do Azure que funcionam com HSM gerenciado, consulte Modelos de criptografia de dados.

Usa a mesma API e interfaces de gerenciamento do Key Vault

• Migre facilmente as suas aplicações existentes que utilizam um cofre (multicliente) para utilizarem HSMs geridos.
• Use os mesmos padrões de desenvolvimento e implantação de aplicativos para todos os seus aplicativos, independentemente da solução de gerenciamento de chaves em uso: cofres multilocatários ou HSMs gerenciados de locatário único.

Importar chaves de seus HSMs locais

• Gere chaves protegidas por HSM em seu HSM local e importe-as com segurança para o HSM gerenciado.

Crie transparência dos artefactos com o Signing Transparency da Microsoft

O HSM gerido está integrado com o Signing Transparency (MST) da Microsoft, permitindo aos clientes inspecionar e validar de forma independente os seus artefactos de compilação. O MST exige que apenas identidades HSM geridas autenticadas e confiáveis possam registar artefactos de construção de produção num livro de registo imutável e à prova de adulteração. Este fornece recibos criptograficamente verificáveis, alinhados com SCITT e compatíveis com o IETF/COSE, que proporcionam uma visibilidade clara sobre as implementações do HSM Gerido — reforçando a confiança, a auditabilidade e a conformidade regulatória.

Para mais informações sobre MST, consulte Sobre o registo de transparência de assinaturas da Microsoft. Para validar artefactos de compilação, consulte Verificar assinaturas no ledger.

Gestão de chaves externa (pré-visualização)

Se a sua carga de trabalho exigir que as chaves de encriptação de chaves (KEKs) estejam alojadas num módulo de segurança de hardware que gere fora da infraestrutura da Microsoft, pode usar a gestão externa de chaves do Managed HSM. A gestão externa de chaves permite que o Managed HSM delegue operações de encapsulamento e desencapsulamento num Proxy EKM operado pelo cliente, à frente do seu HSM externo. A gestão externa de chaves encontra-se atualmente em pré-visualização, suporta apenas o encapsulamento e desencapsulamento, e não está abrangida pelo SLA do HSM Gerido. Para mais detalhes, veja O que é a gestão de chaves externas de HSM gerida?.

Próximos passos

• Gerenciamento de chaves no Azure
• Para obter detalhes técnicos, consulte Como o HSM gerenciado implementa soberania, disponibilidade, desempenho e escalabilidade importantes sem compensações
• Consulte Guia de início rápido: provisionar e ativar um HSM gerenciado usando a CLI do Azure para criar e ativar um HSM gerenciado
• Consulte Como proteger a sua implementação do HSM Gerido
• Status do HSM gerenciado
• Contrato de Nível de Serviço de HSM Gerenciado
• Disponibilidade regional do Managed HSM
• O que é Confiança Zero?