外部密钥管理（EKM）是组织在云基础结构外部生成、存储和管理加密密钥的方法，同时使用这些密钥来保护云服务中的数据。 此方法可以解决组织的关键主权要求，这些组织需要更好地控制受监管部门的数据主权和合规性的加密材料。
Azure 密钥保管库 托管 HSM 的密钥主权
Azure 密钥保管库 托管 HSM 借助经过 FIPS 140-3 3 级验证的安全性、单租户隔离以及由客户控制的安全域，让你能够完全控制加密密钥，从而帮助你实现密钥主权。 此方法提供强大的主权保证，同时维护 Azure 的服务级别协议，并消除管理物理 HSM 基础结构的操作开销。
对于大多数组织，托管 HSM 关键主权甚至满足严格的法规要求。 有关详细信息，请参阅 什么是 Azure 密钥保管库 托管 HSM？ 和 主权公有云的功能。
托管 HSM 外部密钥管理（预览版）
对于受法规或合同要求约束、必须将密钥材料实际存放在 Microsoft 基础架构之外的组织，Azure 密钥保管库 Managed HSM 还以预览功能的形式支持外部密钥管理。 借助 EKM，密钥加密密钥存放在 Azure 外部由客户运营的 HSM 中，而托管 HSM 会通过由客户运行的 EKM 代理将封装和解封操作委托给该 HSM。
Important
托管 HSM 外部密钥管理现已提供 预览版。 预览版功能根据你同意 补充使用条款的条件提供。 在正式发布之前，此功能的某些方面可能会更改。
EKM 以牺牲可用性、性能和操作简便性为代价，换取在 Microsoft 基础结构之外对物理密钥的控制。 对于具有硬性法律或合同授权的组织来说，这是一种最后选择，而不是对托管 HSM 密钥进行常规用途升级。
有关完整的体系结构详细信息、操作要求和快速入门，请参阅 什么是托管 HSM 外部密钥管理？。
另见
- Azure中的密钥管理 - 比较所有Azure密钥管理解决方案。
- 如何选择正确的密钥管理解决方案 - 包括 EKM 的决策指南。
- 密钥管理控制 - 主权云的关键管理安全注意事项。
- 密钥恢复管理 - 托管 HSM 的操作责任。
- Microsoft主权云概述 - 更广泛的主权功能。