Azure 密钥保管库 托管 HSM 是 Microsoft Sovereign Cloud 架构中 主权控制 的基石。 它通过确保加密操作和密钥材料完全受你控制，从而满足严格的法规和合规性要求。 该主权模型可在不影响服务级别协议（SLA）的情况下，为数据驻留和合规提供无与伦比的保障。 它还将重大运营责任转移到你。
有关密钥管理控件和主权注意事项的详细信息，请参阅 密钥管理控制措施。
与 Azure 密钥保管库（标准和高级）不同，Microsoft负责密钥持久性和服务连续性，托管 HSM 要求管理 安全域（恢复）、 RSA 密钥对和密钥 备份。 此操作开销包括恢复密钥生成、脱机存储以及灾难恢复规划——这些是确保您主权工作负载的加密密钥可访问性至关重要的任务。 有关详细信息，请参阅 托管 HSM 中的安全域概述。
注释
安全域用于还原托管 HSM 服务并导入 HSM 备份。 它不包括托管 HSM 服务中实际密钥的备份。 可以单独备份密钥或所有内容。 有关详细信息，请参阅 完整备份和还原和选择性密钥还原。
客户责任
为主权工作负载采用托管 HSM 时，您需要承担若干项运营职责。 以下任务可确保您的负载具有独立性，并能够在紧急情况下恢复：
安全地生成和管理 RSA 密钥对
初始化期间至少需要三个 RSA 密钥对。 这些密钥使用 Shamir 的秘密共享算法加密安全域，在恢复过程中允许使用一组密钥进行恢复。 可以脱机创建恢复密钥并将其用于服务激活。 有关生成和管理恢复密钥的指导，请参阅 为托管 HSM 创建和管理恢复密钥。
RSA 密钥对和安全域应在非联网环境中进行冗余存储
需要安全地和冗余地存储安全域和恢复密钥（专用和公用），但 从不存储在依赖于托管 HSM 服务本身的位置。 如果在恢复方案中无法访问这些密钥，则无法还原 HSM 和所有关联的密钥。
定期进行安全的 HSM 备份
安全域不包含 HSM 中的任何密钥材料。 你负责创建托管 HSM 备份。 虽然可以将这些备份存储在 Azure 存储帐户中， 但请确保存储帐户不依赖于托管 HSM 中存储的加密密钥。 在恢复期间，这些存储帐户不可用，并有可能失去对密钥备份的访问权限。 将 HSM 备份复制到本地，确保备份存储帐户使用平台托管密钥、密钥保管库（高级）密钥进行 CMK 加密，或确保至少存储帐户加密密钥在另一个位置可用。
规划恢复方案
若要还原 HSM，需要：
- 安全域文件，
- 恢复密钥（法定数量）
- 和最新的（完整）HSM 备份。
请确保有一个详细的计划，其中存储了安全域及其恢复密钥，以及如何检索它们。 有关详细信息，请参阅 灾难恢复指南。
密钥恢复的最佳做法
- 为托管 HSM 资源启用软删除和清除保护，以防止意外或恶意删除。
- 对 HSM 执行常规备份并安全地存储它们。
- 记录恢复过程 并定期测试它们，以确保就绪。
有关详细信息，请参阅 主权工作负荷的业务连续性和灾难恢复（BCDR）。
忽视的后果
如果丢失安全域或仲裁密钥：
- Microsoft无法为你恢复 HSM。
- 所有加密材料都不可恢复。
- 通过该加密材料加密的所有数据都可以永久丢失。
- 业务连续性和合规性义务可能会受到严重影响。
可选选项 - Azure 密钥保管库 Premium
如果您偏好使用Microsoft负责管理服务和密钥的可用性，请考虑Azure 密钥保管库 Premium。 与托管 HSM 不同的是，在托管 HSM 中，您拥有安全域和恢复过程的控制权，而 密钥保管库 Premium 则确保由 Microsoft 负责服务的连续性和密钥的持久性。 此选项可降低操作开销和风险。
有关选择正确的密钥管理解决方案的详细信息，请参阅 密钥管理控件 和 外部密钥管理。
有关详细信息，请参阅 Azure 密钥保管库 Premium 概述。
总结
托管 HSM 提供无与伦比的安全性和自主权，但拥有这种控制权也意味着要承担相应的责任。 保护安全域和关联的密钥，就像整个主权工作负载和数据依赖于它们一样，因为它确实存在。
相关内容
- 密钥管理控制 - 主权云的关键管理注意事项
- 主权工作负荷的业务连续性和灾难恢复 （BCDR） - BCDR 对主权控制的影响
- 外部密钥管理 - 外部密钥管理方法
- 在主权公有云中实现工作负荷 - 实现主权工作负荷概述
- 托管 HSM 中的安全域 - 有关安全域的详细信息
- 托管 HSM 的灾难恢复指南 - 分步恢复过程