Жизненный цикл внешнего ключа в управляемом управлении внешним ключом HSM (предварительная версия)

Overview

В этой статье описывается полный жизненный цикл внешнего ключа в управлении внешними ключами HSM: создание ссылки на ключи, поддерживаемые операции, способы смены и безопасное удаление ключей. Жизненный цикл внешнего ключа требует более тщательного планирования, чем жизненный цикл ключа в Managed HSM, поскольку две независимые системы — Managed HSM и ваш внешний HSM — должны оставаться синхронизированными. Операция, которая успешно выполняется на одной стороне, но завершается сбоем на другой, может привести к тому, что ваша среда окажется в несогласованном состоянии, влияющем на все операции обёртывания и развёртывания.

Ссылка на ключ и ключевой материал

В управлении внешними ключами ключевой объект в Управляемом HSM и материал ключа во внешнем HSM являются отдельными сущностями.

Идентификатор внешнего ключа — это идентификатор, который связывает эти два объекта вместе. Это непрозрачная строка, которую прокси-сервер EKM понимает и использует для маршрутизации операций к нужному ключу во внешнем HSM. Managed HSM сохраняет идентификатор внешнего ключа в ссылке на ключ, но никогда не хранит и не обрабатывает ключевой материал, на который эта ссылка указывает.

Это разделение имеет прямые последствия для резервного копирования и аварийного восстановления:

• Управляемое резервное копирование HSM сохраняет ссылку на ключ (идентификатор внешнего ключа, метаданные и политику доступа). Он не создает резервную копию ключевого материала.
• Внешнее резервное копирование HSM полностью лежит на вас. Если внешний ключ утерян и у вас нет резервной копии, операции упаковки и распаковки для любой версии ключа Managed HSM, которая ссылается на этот идентификатор внешнего ключа, будут безвозвратно завершаться с ошибкой.

Описание полного распределения ответственности см. в разделе SLA и разделение ответственности при управлении внешними ключами в Managed HSM.

Поддерживаемые типы ключей и размеры

Поддерживаемые и неподдерживаемые операции

Поддерживаемые операции:

Неподдерживаемые операции (предварительная версия):

• sign и verify.
• encrypt и decrypt (кроме как посредством wrap/unwrap)
• Выпуск безопасного ключа (SKR)
• Сценарии запуска шифрования дисков конфиденциальной виртуальной машины (CVM)
• Шифрование на стороне сервера для служб, требующих sign или encrypt напрямую

Создание ссылки на внешний ключ

Прежде чем создать ссылку на ключ в управляемом HSM, ключ должен уже существовать во внешнем HSM, а прокси-сервер EKM должен быть настроен и доступен. Последовательность создания:

1. Создайте ключ в вашем внешнем HSM с помощью инструментов поставщика HSM.

2. Получите идентификатор внешнего ключа для этого ключа из прокси-сервера EKM.

3. Создайте ссылку на ключ в Managed HSM:

   az keyvault key create \
     --hsm-name <Managed HSM-name> \
     --name <key-ref-name> \
     --external-key-id <external-key-identifier>
   

Управляемый HSM создает объект ключа, содержащий идентификатор внешнего ключа, тип ключа и политику доступа. Не генерирует и не импортирует какой-либо ключевой материал.

Полное пошаговое руководство, включая настройку подключения к внешнему ключу, см. в кратком руководстве по созданию первого внешнего ключа с помощью Azure CLI.

Authorization

Локальная модель RBAC в Managed HSM обеспечивает полный контроль доступа для внешних ключей, так же как и для ключей Managed HSM. Для создания подключений к внешним системам управления ключами и управления ими требуется роль Managed HSM EKM Administrator. Все остальные операции с ключами (упаковка, распаковка, получение списка, получение) используют стандартные локальные роли RBAC управляемого HSM. Дополнительные сведения см. в разделе "Управление доступом" для управляемого устройства HSM.

Типичные роли для операций с внешними ключами:

Прокси-сервер EKM и внешний HSM не имеют контекста удостоверения в Azure. Они видят только аутентифицированные по mTLS запросы на wrap и unwrap от Managed HSM. Прокси-сервер не может считывать назначения ролей управляемого HSM или определять, кто инициировал запрос.

Сведения об определениях ролей и командах назначения см. в разделе "Управление доступом" для управляемого устройства HSM.

Rotation

Ротация внешнего ключа выполняется вручную и осуществляется оператором. Для внешних ключей не поддерживается автоматическая ротация, управляемая сервисом. Необходимо согласовывать ротацию между внешним HSM и управляемым HSM.

Последовательность поворота:

1. Создайте новый ключ во внешнем HSM с помощью инструментов поставщика HSM.

2. Получите новый идентификатор внешнего ключа из прокси-сервера EKM.

3. Создайте новую версию существующей ссылки на ключ Managed HSM, указав в ней новый идентификатор внешнего ключа:

   az keyvault key create \
     --hsm-name <Managed HSM-name> \
     --name <key-ref-name> \
     --external-key-id <new-external-key-identifier>
   

После создания новой версии:

• Новые операции упаковки автоматически используют последнюю версию ключа.
• Существующий зашифрованный текст , завернутый в предыдущую версию, по-прежнему может быть раскрыт. Старые версии остаются активными и доступны на их версиях URI.
• URI ключа (URI хранилища + имя ключа, без сегмента версии) остается неизменным во всех версиях. Службы, ссылающиеся на URI без указания версии, автоматически начинают использовать новую версию для операций обёртывания.

Синтаксис команд и рабочий пример см. в кратком руководстве по созданию первого внешнего ключа с помощью Azure CLI.

Резервное копирование и восстановление

Управляемый модуль HSM в настоящее время не поддерживает операции резервного копирования и восстановления для внешних ключей. Попытка восстановить внешний ключ из резервной копии может привести к тому, что связанный ресурс управляемого устройства HSM вступает в состояние пониженного состояния. Чтобы восстановить ссылку на внешний ключ, повторно создайте ссылку на внешний ключ в управляемом HSM, а не с помощью операций восстановления.

Резервное копирование внешнего HSM является вашей обязанностью. Создайте резервную копию ключевого материала с помощью средств поставщика HSM в соответствии с задокументированными процедурами этого поставщика. Управляемый HSM не имеет доступа к сведениям о резервном копировании внешнего ключевого материала и не контролирует его.

Удаление

Удаление внешнего ключа включает в себя две отдельные операции в двух разных системах. Узнайте, какой из них вы выполняете, прежде чем продолжить.

Удалить ссылку на ключ (Управляемый HSM)

При удалении ссылки на ключ управляемого HSM удаляется объект маршрутизации и область управления доступом в управляемом HSM. Это не затрагивает внешний HSM или ключевой материал.

az keyvault key delete \
  --hsm-name <Managed HSM-name> \
  --name <key-ref-name>

Для Managed HSM мягкое удаление включено по умолчанию для всех пулов. Удаленная ссылка на ключ перемещается в удаленное состояние и остается восстановленной в течение настроенного периода хранения (7–90 дней).

Защита от очистки, если она включена, не позволяет окончательно удалить данные до истечения срока хранения. Включите защиту очистки для любого управляемого пула HSM, включающего ссылки на рабочие ключи.

Чтобы окончательно удалить ссылку после мягкого удаления:

az keyvault key purge \
  --hsm-name <Managed HSM-name> \
  --name <key-ref-name>

Удалить материал ключа (внешний HSM)

Удаление ключевого материала во внешнем HSM необратимо. Используйте средства поставщика HSM и следуйте процедурам поставщика для уничтожения ключей.

Рекомендуемая последовательность удаления:

1. Определите все службы Azure с помощью ссылки на ключ (проверьте журналы Azure Monitor для последних wrapKey и unwrapKey действий).
2. Переведите эти службы на другой ключ.
3. Убедитесь, что для данной ссылки на ключ не осталось операций wrap или unwrap.
4. Удалите (и, при необходимости, безвозвратно удалите) ссылку на ключ Managed HSM.
5. Удалите ключевой материал из внешнего HSM с помощью средств, предоставляемых поставщиком HSM.

Перенос нагрузки на другой ключ

Вы не можете перенести или преобразовать внешний ключ в другой ключ. Azure Key Vault и Управляемое устройство HSM не позволяют экспортировать материалы ключей между границами безопасности. Чтобы переключить рабочую нагрузку с внешнего ключа на управляемый ключ HSM (или другой внешний ключ), вы переносите рабочую нагрузку на новый ключ, а не сам ключ. Новый ключ имеет другой универсальный код ресурса (URI) ключа, и каждая служба Azure, используюющая исходный ключ, должна быть перенастроена, чтобы указать новый универсальный код ресурса (URI).

Пошаговые инструкции см. в статье Перенос рабочих нагрузок с внешних ключей. Сведения об общем шаблоне Azure Key Vault, которому соответствует этот сценарий, см. в разделе Миграция рабочих нагрузок ключей.

Связанные материалы

• Что такое управляемое управление внешними ключами HSM?.
• Архитектура внешнего управления ключами для Managed HSM.
• Соглашение об уровне обслуживания и общая ответственность за управление внешними ключами HSM.
• Краткое руководство. Создание первого внешнего ключа с помощью Azure CLI.
• Перенос рабочих нагрузок с внешних ключей для управления внешними ключами HSM.
• Управление доступом для управляемого устройства HSM.
• Устранение неполадок при управлении внешними ключами в Managed HSM