Was ist Managed HSM External Key Management?
Managed HSM External Key Management hilft Ihnen, Ihren Key Encryption Key (KEK) in einem kundeneigenen, kundenbetriebenen HSM zu halten, das vollständig außerhalb der Microsoft-Infrastruktur läuft. Wenn ein Azure-Dienst einen Data Encryption Key wrappen oder unwrappen muss, delegiert Managed HSM diese Operation an Ihr externes HSM. Die Delegation läuft über einen von Ihnen oder Ihrem HSM-Hersteller betriebenen EKM Proxy.
Microsoft kennzeichnet die Funktion ausdrücklich als Preview und beschreibt sie als letzte Ausbaustufe für Organisationen mit strengen regulatorischen oder souveränitätsbezogenen Anforderungen, die physische Kontrolle über das Schlüsselmaterial außerhalb von Microsoft-Rechenzentren gesetzlich oder vertraglich vorschreiben. Es handelt sich laut Microsoft nicht um ein allgemeines Upgrade gegenüber Managed-HSM-Schlüsseln, sondern um eine bewusst eng gefasste, gated Option.
Kernfunktionen
Maximale Schlüsselkontrolle: Der KEK liegt weder in der Microsoft-Infrastruktur noch durchläuft er sie. Nur Ihre Hardware führt Wrap- und Unwrap-Operationen aus.
Digitale Souveränität: Da Sie das HSM physisch kontrollieren, können Sie es jederzeit trennen und damit alle kryptografischen Operationen stoppen.
Herstellerunabhängigkeit: Microsoft veröffentlicht eine standardisierte EKM Proxy API. Jeder HSM-Hersteller kann einen konformen Proxy implementieren, ebenso können Sie das selbst tun.
Klare Verantwortungsgrenze: Microsoft verantwortet Managed HSM bis einschließlich der Service-Grenze. Alles jenseits davon, also Proxy, externes HSM, Netzwerk, Verfügbarkeit und Support, liegt bei Ihnen und Ihrem HSM-Hersteller.
Kein Microsoft-Aufschlag: External Key Management erhebt keine zusätzliche Gebühr pro Operation über die Standard-Managed-HSM-Preise hinaus. Die Kosten für Proxy-Infrastruktur und HSM-Lizenzen tragen Sie.
Typische Anwendungsfälle
Regulatorische Vorgabe: Aufsichtsrechtliche oder vertragliche Anforderungen verlangen, dass Schlüsselmaterial physisch außerhalb der Microsoft-Infrastruktur verbleibt.
Digitale Souveränität: Organisationen, die eine jederzeitige Abschaltmöglichkeit für kryptografische Operationen benötigen.
Encryption at Rest: Azure-Dienste, die Customer-Managed Keys mit Managed HSM unterstützen, verschlüsseln Daten im Ruhezustand mit einem extern gehaltenen KEK.
Bestehende HSM-Landschaft: Weiternutzung vorhandener HSM-Investitionen und Herstellerbeziehungen, etwa mit Entrust, Eviden, Fortanix, Futurex, Securosys, Thales oder Utimaco.
Vorteile
- Schlüsselmaterial verbleibt physisch in Ihrer eigenen Hardware außerhalb von Microsoft-Rechenzentren
- Jederzeitige Abschaltmöglichkeit für alle kryptografischen Operationen
- Offene, herstellerunabhängige EKM Proxy API mit mehreren unterstützenden HSM-Anbietern
- Kein zusätzlicher Preisaufschlag pro Operation seitens Microsoft
- Managed-HSM-Logs weisen Fehler aus, die dem Proxy oder externen HSM zuzuordnen sind
Integration mit innFactory
Als Microsoft Solutions Partner unterstützt innFactory Sie bei der Bewertung von Managed HSM External Key Management: Prüfung der regulatorischen Notwendigkeit gegenüber Managed-HSM-Schlüsseln, Architektur für EKM Proxy und Netzwerk, Betriebs- und Verfügbarkeitskonzept sowie Abstimmung mit Ihrem HSM-Hersteller.
Kontaktieren Sie uns für eine unverbindliche Beratung zu External Key Management und Azure Key Management.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist External Key Management allgemein verfügbar?
Nein. Microsoft schreibt: „Managed HSM external key management is in preview.“ Preview-Funktionen setzen die Zustimmung zu den Supplemental Terms of Use voraus, und einzelne Aspekte können sich bis zur allgemeinen Verfügbarkeit ändern.
Welche Voraussetzungen gelten für die Teilnahme?
Der Zugang ist gated. External Key Management muss vom Microsoft-Account-Team für Ihre Subscription freigeschaltet werden. Für Onboarding und Nutzung sind laut Microsoft ein zugewiesener Microsoft Account Manager sowie ein jährliches Gesamt-Commitment von mindestens 10 Millionen US-Dollar an Azure-Umsatz erforderlich.
Welche Operationen werden unterstützt?
External Key Management unterstützt ausschließlich wrapKey und unwrapKey. Sign, Verify, Encrypt, Decrypt, Secure Key Release und Confidential-VM-Start-Szenarien sind nicht im Umfang enthalten.
Gibt es ein SLA für externe Schlüssel?
Nein. Das Managed-HSM-SLA deckt ausschließlich Managed-HSM-Schlüssel ab. Die Verfügbarkeit von Wrap- und Unwrap-Operationen für externe Schlüssel hängt vollständig von Ihrem Proxy und Ihrem HSM ab. Fehler, die dem Proxy oder dem externen HSM zuzurechnen sind, zählen nicht gegen das Managed-HSM-SLA.
Wer betreibt und unterstützt den EKM Proxy?
Microsoft liefert, betreibt und unterstützt weder den EKM Proxy noch das externe HSM. Diese Verantwortung liegt bei Ihnen oder Ihrem HSM-Hersteller. Microsoft veröffentlicht lediglich die EKM Proxy API, gegen die Hersteller oder Sie selbst einen Proxy implementieren können.
Wann sollte man External Key Management nicht einsetzen?
Wenn keine gesetzliche oder vertragliche Anforderung besteht, dass Schlüsselmaterial physisch außerhalb der Microsoft-Infrastruktur liegen muss, empfiehlt Microsoft Managed-HSM-Schlüssel. External Key Management bringt zusätzliche Netzwerk-Roundtrips, geringere Verfügbarkeit und höheren Betriebsaufwand mit sich.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
