Azure Key Vault Managed HSM ist ein vollständig verwalteter, single-tenant HSM-Dienst für Organisationen, denen ein mandantenfähiger Key Vault nicht ausreicht.
Was ist Azure Key Vault Managed HSM?
Azure Key Vault Managed HSM ist ein vollständig verwalteter, hochverfügbarer, single-tenant und standardkonformer Cloud-Dienst, mit dem Sie kryptografische Schlüssel für Ihre Cloud-Anwendungen über FIPS 140-3 Level 3 validierte HSMs absichern. Er ist eine von mehreren Lösungen für Schlüsselverwaltung in Azure.
Die drei wesentlichen Eigenschaften formuliert Microsoft klar. Vollständig verwaltet bedeutet, dass der Dienst Bereitstellung, Konfiguration, Patching und Wartung übernimmt. Hochverfügbar bedeutet, dass jeder HSM-Cluster aus mehreren HSM-Partitionen besteht und bei Hardwarefehlern automatisch auf gesunde Knoten migriert wird. Single-Tenant bedeutet, dass jede Instanz einem einzelnen Kunden zugeordnet ist und über eine eigene kundenspezifische Security Domain kryptografisch isoliert wird.
Hinweis zur Begrifflichkeit: Microsoft verwendet „Managed HSM instance“ und „Managed HSM pool“ synonym, in der Dokumentation durchgängig „Managed HSM instance“.
Kernfunktionen
- Zentrale Schlüsselverwaltung: kritische, hochwertige Schlüssel an einem Ort verwalten, mit granularen Berechtigungen pro Schlüssel nach dem Prinzip der geringsten Rechte
- Isolierte Zugriffssteuerung: lokales RBAC-Modell, bei dem benannte HSM-Cluster-Administratoren die vollständige Kontrolle behalten
- Private Endpoints: sichere und private Anbindung aus einer Anwendung in einem virtuellen Netzwerk
- FIPS 140-3 Level 3 validierte HSMs: auf Basis von Marvell LiquidSecurity HSM-Adaptern
- Monitoring und Audit: vollständige Integration mit Azure Monitor sowie Auswertung und Alarmierung über Azure Log Analytics
- Datenresidenz: keine Speicherung oder Verarbeitung von Kundendaten außerhalb der Bereitstellungsregion
- BYOK: Import HSM-geschützter Schlüssel aus eigenen On-Premises-HSMs
- Microsoft Signing Transparency: unabhängige Prüfung und Validierung der Build-Artefakte über einen unveränderlichen, manipulationssicheren Ledger
Typische Anwendungsfälle
Customer-Managed Keys für Azure-Dienste
Schlüssel erzeugen oder importieren und damit ruhende Daten in Diensten wie Azure Storage und Azure SQL verschlüsseln.
Customer Key für Microsoft 365
Microsoft nennt Customer Key für Microsoft 365 ausdrücklich als unterstütztes Szenario.
Compliance-getriebene Anforderungen
Regulatorische Vorgaben, die single-tenant HSMs oder eine FIPS-140-3-Level-3-Validierung verlangen.
Migration bestehender Key-Vault-Anwendungen
Da Managed HSM dieselbe API und dieselben Verwaltungsschnittstellen nutzt, lassen sich Anwendungen von einem mandantenfähigen Vault überführen, ohne die Entwicklungs- und Deployment-Muster zu ändern.
Souveränitätsszenarien
Microsoft führt Managed HSM als Baustein im Umfeld von Confidential Computing und External Key Management; die Preview-Funktion External Key Management adressiert KEKs außerhalb der Microsoft-Infrastruktur.
Vorteile
- Single-Tenant-Isolation über eine kundenspezifische Security Domain
- Zugriffskontrolle, die selbst durch Subscription- oder Management-Group-Administratoren nicht übergangen werden kann
- Automatische Migration von HSM-Partitionen bei Hardwarefehlern
- Datenresidenz innerhalb der gewählten Region
- Gleiche API wie Key Vault und damit geringer Migrationsaufwand
- Nachvollziehbarkeit der Build-Artefakte über Microsoft Signing Transparency
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie bei Entwurf und Betrieb Ihrer Schlüsselverwaltung: Abgrenzung zwischen Key Vault Premium und Managed HSM, Aufbau des lokalen RBAC-Modells, sichere Verwahrung der Security Domain, BYOK-Prozesse und die Anbindung an Customer-Managed-Keys-Szenarien.
Für regulierte Umgebungen ordnen wir das in Ihren Compliance-Rahmen ein; die Anforderungen für Berufsgeheimnisträger beschreiben wir im Beitrag zum § 203 StGB in der Public Cloud. Die plattformseitige Verankerung erfolgt über eine Azure Landing Zone.
Kontaktieren Sie uns für eine unverbindliche Beratung zu HSM-gestützter Schlüsselverwaltung auf Microsoft Azure.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Was ist der Unterschied zu Azure Key Vault?
Azure Key Vault ist ein mandantenfähiger Dienst, Managed HSM ist single-tenant: Jede Managed-HSM-Instanz ist einem einzelnen Kunden zugeordnet und besteht aus einem Cluster mehrerer HSM-Partitionen mit einer eigenen kundenspezifischen Security Domain, die den Cluster kryptografisch isoliert. Managed HSM nutzt dieselbe API und dieselben Verwaltungsschnittstellen wie Key Vault, sodass bestehende Anwendungen einfach migriert werden können.
Welchen FIPS-Level erreichen die HSMs?
Microsoft beschreibt Managed HSM als standardkonformen Cloud-Dienst mit FIPS 140-3 Level 3 validierten HSMs. Eingesetzt werden Marvell LiquidSecurity HSM-Adapter. Microsoft weist zudem darauf hin, dass die HSM-Flotte für Azure Key Vault Managed HSM und Azure Key Vault Premium auf eine FIPS 140-3 Level 3 validierte Firmware aktualisiert wurde.
Wer kontrolliert den Zugriff?
Managed HSM nutzt ein lokales RBAC-Zugriffsmodell. Benannte HSM-Cluster-Administratoren behalten die vollständige Kontrolle über die HSMs; diese Kontrolle können selbst Administratoren auf Management-Group-, Subscription- oder Resource-Group-Ebene nicht übergehen. Zusätzlich lassen sich granulare Berechtigungen pro Schlüssel nach dem Prinzip der geringsten Rechte vergeben.
Wo werden die Daten verarbeitet?
Microsoft hält fest, dass Managed HSM keine Kundendaten außerhalb der Region speichert oder verarbeitet, in der die HSM-Instanz vom Kunden bereitgestellt wurde.
Kann ich eigene Schlüssel importieren?
Ja. Microsoft beschreibt sowohl das Erzeugen von Schlüsseln als auch den Import über BYOK. Sie können HSM-geschützte Schlüssel in Ihrem eigenen On-Premises-HSM generieren und sicher in Managed HSM importieren.
Was ist External Key Management?
External Key Management adressiert Workloads, bei denen Key Encryption Keys (KEKs) in einem HSM außerhalb der Microsoft-Infrastruktur liegen müssen, das Sie selbst betreiben. Managed HSM delegiert dabei Wrap- und Unwrap-Operationen an einen kundenbetriebenen EKM-Proxy vor Ihrem externen HSM. Microsoft weist ausdrücklich darauf hin, dass sich External Key Management derzeit in Preview befindet, nur Wrap und Unwrap unterstützt und nicht von der Managed HSM SLA abgedeckt ist.
Mit welchen Azure-Diensten lässt sich Managed HSM kombinieren?
Microsoft nennt unter anderem Azure Storage, Azure SQL, Azure Information Protection und Customer Key für Microsoft 365. Eine vollständigere Übersicht liefert die Microsoft-Dokumentation zu den Data Encryption Models.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
