Architektura nasazení Azure Dedicated HSM
Azure Dedicated HSM poskytuje kryptografické úložiště klíčů v Azure. Splňuje přísné požadavky na zabezpečení. Zákazníci můžou využívat Azure Dedicated HSM, pokud:
- Musí splňovat certifikaci FIPS 140-2 Level-3 .
- Vyžadování výhradního přístupu k HSM
- by měla mít úplnou kontrolu nad jejich zařízeními
Moduly hardwarového zabezpečení se distribuují napříč datovými centry Microsoftu a dají se snadno zřídit jako dvojice zařízení jako základ vysoce dostupného řešení. Můžou se také nasadit napříč oblastmi pro řešení odolné proti havárii. Oblasti s aktuálně dostupným vyhrazeným HSM je možné zkontrolovat pomocí stránky Produkty podle oblasti.
- East US
- USA – východ 2
- USA – západ
- Západní USA 2
- Kanada – východ
- Střední Kanada
- Středojižní USA
- Southeast Asia
- Střední Indie
- Jižní Indie
- Japonsko – východ
- Japonsko – západ
- Severní Evropa
- West Europe
- Spojené království – jih
- Spojené království – západ
- Austrálie – východ
- Austrálie – jihovýchod
- Švýcarsko – sever
- Švýcarsko – západ
- US Gov – Virginie
- US Gov – Texas
Každá z těchto oblastí má racky HSM nasazené ve dvou nezávislých datových centrech nebo alespoň ve dvou nezávislých zónách dostupnosti. Jihovýchodní Asie má tři zóny dostupnosti a USA – východ 2 mají dvě. V Evropě, Asii a Severní Amerika je celkem dvacet tří oblastí, které nabízejí službu Dedicated HSM. Další informace o oblastech Azure najdete v oficiálních informacích o oblastech Azure. Některé faktory návrhu pro jakékoli řešení založené na vyhrazeném HSM jsou umístění/latence, vysoká dostupnost a podpora jiných distribuovaných aplikací.
Device location (Umístění zařízení)
Optimální umístění zařízení HSM je v nejbližší blízkosti aplikací provádějících kryptografické operace. Očekává se, že latence v jednotlivých oblastech bude jednociferná. Latence napříč oblastmi může být 5 až 10krát vyšší.
Vysoká dostupnost
Aby bylo možné dosáhnout vysoké dostupnosti, musí zákazník použít dvě zařízení HSM v oblasti, která jsou nakonfigurovaná pomocí softwaru Thales jako dvojice vysoké dostupnosti. Tento typ nasazení zajišťuje dostupnost klíčů, pokud u jednoho zařízení dojde k problému, který mu brání ve zpracování operací s klíči. Zároveň výrazně snižuje riziko při provádění údržby přerušení/opravy, jako je výměna napájení. Je důležité, aby návrh zohlednil jakýkoli druh selhání na regionální úrovni. K selháním na regionální úrovni může dojít, když dojde k přírodním katastrofám, jako jsou hurikány, záplavy nebo zemětřesení. Tyto typy událostí by se měly zmírnit zřízením zařízení HSM v jiné oblasti. Zařízení nasazená v jiné oblasti se můžou spárovat prostřednictvím konfigurace softwaru Thales. To znamená, že minimální nasazení pro vysoce dostupné a odolné řešení proti havárii je čtyři zařízení HSM ve dvou oblastech. Místní redundanci a redundanci napříč oblastmi je možné použít jako směrný plán pro přidání dalších nasazení zařízení HSM pro podporu latence, kapacity nebo splnění dalších požadavků specifických pro aplikaci.
Podpora distribuovaných aplikací
Vyhrazená zařízení HSM se obvykle nasazují na podporu aplikací, které potřebují provádět operace ukládání klíčů a načítání klíčů. Vyhrazená zařízení HSM mají 10 oddílů pro podporu nezávislých aplikací. Umístění zařízení by mělo být založeno na holistickém zobrazení všech aplikací, které potřebují službu používat.
Další kroky
Jakmile se určí architektura nasazení, většinu aktivit konfigurace k implementaci této architektury poskytne Thales. To zahrnuje konfiguraci zařízení i scénáře integrace aplikací. Další informace najdete na portálu zákaznické podpory Společnosti Thales a stáhněte si příručky pro správu a konfiguraci. Na partnerském webu Microsoftu najdete celou řadu průvodců integrací. Doporučuje se, aby všechny klíčové koncepty služby, jako je například vysoká dostupnost a zabezpečení, byly dobře srozumitelné před zřizováním zařízení nebo návrhem a nasazením aplikací. Další témata na úrovni konceptu: