The problem
La clé de vos données Azure reste dans Azure
Une Customer-Managed Key dans Managed HSM se gère de votre côté, mais elle reste chez le fournisseur qui stocke les données.
Azure SQL Database et d'autres services savent chiffrer avec une Customer-Managed Key, mais la clé qui enveloppe leurs clés de données se trouve toujours dans Azure. Quand un régulateur ou un conseil d'administration demande qui pourrait désenvelopper les données, ou comment couper l'accès, la réponse dépend du fournisseur qui détient déjà les données.
Clé à côté des données
La clé de chiffrement de clés et les données chiffrées sont chez le même fournisseur.
Interrupteur chez le fournisseur
Couper l'accès passe par les contrôles du fournisseur lui-même.
Questions de souveraineté
Les auditeurs demandent où se trouve la clé et sous quelle juridiction.
Preuves d'audit
Prouver qui peut utiliser la clé est plus difficile quand elle est dans le cloud.
Comment ça marche
Azure demande à DuoKey d'envelopper et de désenvelopper. La KEK reste chez vous.
Avec le protocole External Key Manager (EKM) d'Azure, Managed HSM délègue l'enveloppement et le désenveloppement des clés de chiffrement de données (DEK) à un gestionnaire de clés que vous exploitez. Les services dotés d'une Customer-Managed Key sur Managed HSM appellent ce point d'accès chaque fois qu'ils protègent ou récupèrent une DEK.
Requête · d'Azure vers DuoKey, à chaque opération sur une DEK
Azure SQL et charges CMK
Ont besoin d'une DEK
Azure Managed HSM
Délègue wrap / unwrap
Point d'accès EKM DuoKey
/azureekm/{slug}
Opération de clé · dans DuoKey
TLS mutuel
Certificat client lié à votre AC
KEK dans le coffre DuoKey
Jamais exposée à Azure
DEK enveloppée ou non
Renvoyée à Azure
Azure ne voit que la DEK qu'il envoie et le résultat qu'il reçoit. La clé de chiffrement de clés (KEK) n'est jamais exposée à Azure.
Fonctionnalités
Un proxy EKM intégré à DuoKey Cockpit
Azure EKM est une application du catalogue Apps de Cockpit. Vous déployez un point d'accès, le reliez à une clé de votre coffre DuoKey et choisissez les algorithmes acceptés.
Implémente l'API Azure EKM en version 0.1-preview
Wrap et unwrap
La KEK reste chez DuoKey
Azure envoie la DEK à envelopper ou désenvelopper avec votre KEK. La KEK elle-même n'est jamais exposée à Azure.
TLS mutuel
Certificat client obligatoire
Chaque requête est authentifiée par un certificat client qui doit remonter à une AC que vous configurez. Vous pouvez aussi épingler le nom du client attendu.
Choix de l'algorithme
A256KW · A256KWP · RSA-OAEP-256
AES Key Wrap, avec ou sans remplissage, pour les clés AES-256, ou RSA-OAEP-256 pour les clés RSA.
Autotest et santé
Aller-retour wrap / unwrap
Un test intégré d'enveloppement et de désenveloppement, et un contrôle de santé structuré du point d'accès.
L'accès suit la clé que vous détenez
Comme la KEK se trouve chez DuoKey et non dans Azure, la désactiver ou la révoquer dans DuoKey empêche Managed HSM d'envelopper ou de désenvelopper des DEK avec elle.
Mise en place
De Cockpit à un point d'accès EKM actif en cinq étapes
- 01
Général
Dans Cockpit, ouvrez Apps, Create new app, Azure EKM. Nommez le proxy ; le slug du point d'accès est un GUID généré automatiquement.
- 02
TLS mutuel
Chargez l'AC qui a émis le certificat client d'Azure. Le mTLS est actif par défaut ; vous pouvez épingler le nom du client.
- 03
Clé
Choisissez le coffre et la clé qui sert de KEK : AES-256 ou RSA.
- 04
Algorithmes
Sélectionnez les algorithmes d'enveloppement acceptés, ou ne cochez rien pour autoriser tous ceux compatibles.
- 05
Vérifier et déployer
Lancez Test Connection pour un autotest wrap / unwrap, puis déployez le proxy EKM.
- Un Azure Managed HSM, avec des services qui l'utilisent comme Customer-Managed Key, par exemple Azure SQL Database TDE
- Le certificat de l'AC qui a émis le certificat client de Managed HSM
- Une clé AES-256 ou RSA dans un coffre DuoKey pour servir de KEK (ou le droit d'en créer une)
- Un ingress qui termine le TLS mutuel et expose le point d'accès à Azure
Analyses
Guides pour votre programme
Engagement
Gardez la clé de vos données Azure hors d'Azure
Voyez un point d'accès EKM DuoKey envelopper et désenvelopper les clés de Managed HSM, avec TLS mutuel, choix des algorithmes et autotest dans Cockpit.
Demander une démoParlons des décisions qui comptent pour votre programme de sécurité.
Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.