The problem
Der Schlüssel zu Ihren Azure-Daten liegt weiter in Azure
Einen Customer-Managed Key in Managed HSM verwalten Sie selbst, er liegt aber beim Anbieter, der die Daten speichert.
Azure SQL Database und andere Dienste verschlüsseln mit einem Customer-Managed Key, doch der Schlüssel, der ihre Datenschlüssel umhüllt, liegt weiterhin in Azure. Fragen Aufsicht oder Verwaltungsrat, wer die Daten enthüllen könnte oder wie Sie den Zugriff beenden, hängt die Antwort vom selben Anbieter ab, der die Daten hält.
Schlüssel neben den Daten
Key Encryption Key und verschlüsselte Daten liegen beim selben Anbieter.
Abschalten beim Anbieter
Den Zugriff zu beenden läuft über die Kontrollen des Anbieters selbst.
Fragen zur Souveränität
Prüfer fragen, wo der Schlüssel liegt und unter welcher Rechtsordnung.
Audit-Nachweise
Nachzuweisen, wer den Schlüssel nutzen kann, ist schwerer, wenn er in der Cloud liegt.
So funktioniert es
Azure lässt DuoKey umhüllen und enthüllen. Der KEK bleibt bei Ihnen.
Mit dem External-Key-Manager-Protokoll (EKM) von Azure delegiert Managed HSM das Umhüllen und Enthüllen von Data Encryption Keys (DEK) an einen Key Manager, den Sie betreiben. Dienste mit einem Customer-Managed Key auf Managed HSM rufen diesen Endpunkt bei jedem Schutz oder jeder Wiederherstellung eines DEK auf.
Anfrage · von Azure an DuoKey, bei jeder DEK-Operation
Azure SQL und CMK-Workloads
Brauchen einen DEK
Azure Managed HSM
Delegiert Wrap / Unwrap
DuoKey-EKM-Endpunkt
/azureekm/{slug}
Schlüsseloperation · in DuoKey
Mutual TLS
Client-Zertifikat von Ihrer CA
KEK im DuoKey-Vault
Nie für Azure sichtbar
Umhüllter oder enthüllter DEK
Zurück an Azure
Azure sieht nur den DEK, den es sendet, und das Ergebnis, das es zurückerhält. Der Key Encryption Key (KEK) wird Azure nie offengelegt.
Funktionen
Ein integrierter EKM-Proxy in DuoKey Cockpit
Azure EKM ist eine App im Apps-Katalog von Cockpit. Sie stellen einen Endpunkt bereit, verknüpfen ihn mit einem Schlüssel in Ihrem DuoKey-Vault und legen die erlaubten Algorithmen fest.
Implementiert die Azure-EKM-API in Version 0.1-preview
Wrap und Unwrap
KEK bleibt bei DuoKey
Azure sendet den DEK zum Umhüllen oder Enthüllen mit Ihrem KEK. Der KEK selbst wird Azure nie offengelegt.
Mutual TLS
Client-Zertifikat erforderlich
Jede Anfrage wird mit einem Client-Zertifikat authentifiziert, das zu einer von Ihnen konfigurierten CA führen muss. Optional lässt sich der erwartete Client-Name festlegen.
Algorithmuswahl
A256KW · A256KWP · RSA-OAEP-256
AES Key Wrap mit oder ohne Padding für AES-256-Schlüssel oder RSA-OAEP-256 für RSA-Schlüssel.
Selbsttest und Health
Wrap-/Unwrap-Rundlauf
Ein integrierter Wrap-/Unwrap-Test und ein strukturierter Health Check für den Endpunkt.
Der Zugriff hängt an dem Schlüssel, den Sie halten
Da der KEK bei DuoKey liegt und nicht in Azure, kann Managed HSM nach dem Deaktivieren oder Widerrufen in DuoKey keine DEKs mehr damit umhüllen oder enthüllen.
Einrichtung
Von Cockpit zum aktiven EKM-Endpunkt in fünf Schritten
- 01
Allgemein
In Cockpit Apps öffnen, Create new app, Azure EKM. Proxy benennen; der Endpunkt-Slug ist eine automatisch erzeugte GUID.
- 02
Mutual TLS
Die CA hochladen, die das Client-Zertifikat von Azure ausgestellt hat. mTLS ist standardmässig aktiv; der Client-Name lässt sich festlegen.
- 03
Schlüssel
Vault und Schlüssel wählen, der als KEK dient: AES-256 oder RSA.
- 04
Algorithmen
Die erlaubten Wrap-Algorithmen wählen oder nichts ankreuzen, um alle kompatiblen zuzulassen.
- 05
Prüfen und bereitstellen
Mit Test Connection einen Wrap-/Unwrap-Selbsttest ausführen, dann den EKM-Proxy bereitstellen.
- Ein Azure Managed HSM mit Diensten, die darauf einen Customer-Managed Key nutzen, etwa Azure SQL Database TDE
- Das CA-Zertifikat, das das Client-Zertifikat von Managed HSM ausgestellt hat
- Einen AES-256- oder RSA-Schlüssel in einem DuoKey-Vault als KEK (oder das Recht, einen anzulegen)
- Einen Ingress, der Mutual TLS terminiert und den Endpunkt für Azure erreichbar macht
Tiefenanalysen
Leitfäden für Ihr Programm
Kontakt
Halten Sie den Schlüssel zu Ihren Azure-Daten ausserhalb von Azure
Sehen Sie, wie ein DuoKey-EKM-Endpunkt Schlüssel von Managed HSM umhüllt und enthüllt, mit Mutual TLS, Algorithmuswahl und Selbsttest in Cockpit.
Demo anfragenSprechen Sie über die Entscheidungen, die für Ihr Sicherheitsprogramm zählen.
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.