Выбор подходящего решения для управления ключами Azure

Azure предлагает несколько решений для хранения криптографических ключей и управления ими в облаке: Azure Key Vault (стандартные и премиум-предложения), Управляемого HSM Azure Key Vault, выделенного HSM Azure и HSM для оплаты Azure. Клиентам может быть трудно определить, какое решение для управления ключами подходит для них. Эта статья помогает клиентам перемещаться по этому процессу принятия решений, предоставляя диапазон решений, основанных на трех аспектах: сценариях, требованиях и отрасли.

Общие сведения о концепциях управления ключами и подробных описаниях каждого решения см. в статье "Управление ключами" в Azure.

Чтобы сузить решение по управлению ключами, следуйте блок-схеме на основе распространенных требований высокого уровня и сценариев управления ключами. Кроме того, используйте таблицу на основе конкретных требований клиента, которые следуют за ней. Если в качестве решений предоставляется несколько продуктов или вы хотите убедиться в выборе правильного продукта, используйте сочетание блок-схемы и таблицы, чтобы принять окончательное решение. Если вам интересно узнать, какие другие клиенты в той же отрасли используют, ознакомьтесь с таблицей общих решений по управлению ключами по отраслевым сегментам.

Выбор решения по управлению ключами Azure по сценариям

На следующей диаграмме описаны распространенные требования и сценарии использования и рекомендуемое решение для управления ключами Azure.

Диаграмма относится к следующим общим требованиям:

• FIPS-140 — это стандарт правительства США с различными уровнями требований к безопасности. Дополнительные сведения см. в статье "Федеральный стандарт обработки информации" (FIPS) 140.
• Основной суверенитет заключается в том, что организация клиента имеет полный и эксклюзивный контроль над ключами, включая контроль над тем, какие пользователи и службы могут получить доступ к ключам и политикам управления ключами.
• Однопользовательский режим относится к одной выделенной инстанции приложения, развернутой для каждого клиента, а не к общей инстанции среди нескольких клиентов. Потребность в продуктах одного клиента часто встречается как внутреннее требование соответствия в отраслях финансовых услуг.

Он также относится к этим различным вариантам использования ключевого управления:

• Шифрование неактивных данных обычно включается для моделей Azure IaaS, PaaS и SaaS. Такие приложения, как Microsoft 365, Защита информации Microsoft Purview, службы платформы, в которых облако используется для хранения, аналитики и функциональности служебной шины, а также службы инфраструктуры, в которых операционные системы и приложения размещаются и развертываются в облаке, используют шифрование на уровне хранения. Ключи, управляемые клиентом для шифрования неактивных данных, используются в службе хранилища Azure и Microsoft Entra. Для обеспечения максимальной безопасности ключи должны поддерживаться HSM и быть 3k или 4k ключами RSA. Дополнительные сведения о шифровании данных в состоянии покоя см. в разделе Azure Data Encryption at Rest.
• Разгрузка SSL/TLS поддерживается в Управляемом HSM Azure и Облачном HSM Azure. Клиенты получают улучшенную доступность, безопасность и наиболее выгодные цены на Azure Managed HSM для F5 и Nginx.
• Перенос без изменений относится к сценариям, в которых локальное приложение PKCS11 переносится в виртуальные машины Azure и выполняет программное обеспечение, такое как Oracle TDE, в виртуальных машинах Azure. Перемещение и передача, требующие обработки платежных ПИН-кодов, поддерживаются модулем Azure Payment HSM. Все остальные сценарии поддерживаются Azure Cloud HSM. Устаревшие API и библиотеки, такие как PKCS11, JCA/JCE и CNG/KSP, поддерживаются только Облачным HSM Azure.
• Обработка платёжного ПИН-кода включает в себя разрешение авторизации карт и мобильных платежей, а также 3D-Secure аутентификации; создание, управление и проверка ПИН-кодов; выдача платёжных учетных данных для карт, носимых и подключённых устройств; защита ключей и данных аутентификации; и защита конфиденциальных данных для сквозного шифрования, токенизации маркеров безопасности и EMV токенизации платежей. Сюда также входят сертификаты, такие как PCI DSS, PCI 3DS и ПИН-код PCI. Они поддерживаются только HSM платежей Azure.

Результат блок-схемы — это отправная точка для определения решения, которое лучше всего соответствует вашим потребностям.

Сравнение других требований клиентов

Azure предоставляет несколько решений по управлению ключами, чтобы позволить клиентам выбирать продукт на основе как высоких требований, так и обязанностей по управлению. Существует спектр обязанностей по управлению, который начинается с Azure Key Vault и управляемого HSM Azure, где ответственность со стороны клиента минимальна, и заканчивается такими услугами, как Azure Cloud HSM и Azure HSM для платежей, где ответственность со стороны клиента максимальна.

Этот компромисс ответственности по управлению между клиентом и корпорацией Майкрософт и другими требованиями подробно описан в таблице ниже.

Подготовка и размещение управляются корпорацией Майкрософт во всех решениях. Создание ключей и управление, роли и разрешения, а также мониторинг и аудит являются ответственностью клиента во всех решениях.

Используйте таблицу для сравнения всех решений параллельно. Начинайте сверху вниз, отвечая на каждый вопрос, найденный в крайнем левом столбце, чтобы помочь выбрать решение, соответствующее всем вашим потребностям, включая управленческие расходы и затраты.

Общее решение по управлению ключами, которое используется отраслевыми сегментами

Ниже приведен список основных управленческих решений, которые мы часто наблюдаем на примере различных отраслей.

Подробные сведения о каждом решении по управлению ключами Azure, включая технические спецификации и варианты использования, см. в статье "Управление ключами" в Azure.

Дальнейшие действия

• Управление ключами в Azure
• Azure Key Vault
• Управляемый HSM в Azure Key Vault
• Выделенный модуль HSM Azure
• HSM для оплаты Azure
• Что такое нулевое доверие?