Azure 專用 HSM 部署體系結構

Azure專用HSM提供Azure中的加密密鑰存儲。它符合嚴格的安全要求。如果客戶具備以下條件，將受益于Azure專用HSM：

·必須符合FIPS 140-2級別3認證

·要求其具有對HSM的獨占訪問權限

·應具有對其設備的完全控制權

HSM分布于Microsoft數據中心，并可以作為高度可用解決方案的基礎輕松地預配為設備對。它們還可以跨區(qū)域部署，用于災難恢復解決方案。目前可以使用"按區(qū)域的產品"頁來檢查具有專用HSM的區(qū)域。

每個區(qū)域都有一個在兩個獨立的數據中心部署的HSM機架，或者至少有兩個獨立的可用性區(qū)域。例如，南東亞有三個可用性區(qū)域，美國東部2有兩個。歐洲、亞洲和美國共有8個區(qū)域，提供專用HSM服務，在新區(qū)域中添加新的HSM機架時，這會發(fā)生變化。有關Azure區(qū)域的詳細信息，請參閱官方Azure區(qū)域信息。任意基于專用HSM的解決方案共享的一些設計因素包括位置/延遲、高可用性，以及對其他分布式應用程序的支持。

設備位置

HSM設備最佳位置是最接近執(zhí)行加密操作的應用程序的位置。區(qū)域內延遲預計為個位毫秒數?？鐓^(qū)域延遲可能是這的5到10倍。

高可用性

若要實現(xiàn)高可用性，客戶必須在使用Thanles software作為高可用性對配置的區(qū)域中使用兩個HSM設備。這種部署可確保在單個設備遇到阻礙其處理密鑰操作的問題時密鑰的可用性。執(zhí)行中斷/修復維護（如電源更換）時，它還可以極大地降低風險。對設計來說，說明各種區(qū)域級故障的原因非常重要。遭遇自然災害（如颶風、洪水或地震）時，可能會發(fā)生區(qū)域級故障。應在另一個區(qū)域預配HSM設備以減輕此類事件的影響。部署在另一個區(qū)域中的設備可以通過Thales軟件配置成對配對。這意味著，跨兩個區(qū)域的高可用性和災難復原解決方案的最小部署為四個HSM設備。本地冗余和跨區(qū)域冗余可作為基線以添加其他更多的HSM設備部署來支持延遲和容量，或者滿足其他特定于應用程序的要求。

分布式應用程序支持

通常部署專用HSM設備來支持需要執(zhí)行密鑰存儲和密鑰檢索操作的應用程序。專用HSM設備具有10個分區(qū)用于獨立的應用程序支持。設備位置應取決于所有需要使用該服務的應用程序的整體情況。