Vilka tjänster tillhandahålls av Microsoft Azure?

Microsoft Azure är Microsofts molntjänstplattform som erbjuder on-demand-tjänster för databehandling, lagring, databaser, nätverk och säkerhetstjänster. Dess datasäkerhetserbjudanden fokuserar på molnnyckelhantering via Azure Key Vault, Managed HSM och Azure Cloud HSM.

Microsoft Azure erbjuder en bred uppsättning molntjänster som låter organisationer bygga, driftsätta och hantera applikationer utan att äga fysisk infrastruktur. Azure körs över Microsofts globala nätverk av datacenter och är ett av de tre största publika molnen tillsammans med Amazon Web Services och Google Cloud Platform. För att skydda data lagrar och hanterar Azures kärnsäkerhetstjänster kryptografiska nycklar.

Key Takeaways

• Azure Key Management har tre huvudalternativ: Azure Key Vault (flera innehavare), hanterad HSM (pool med en enda innehavare) och Azure Cloud HSM (kluster med en enda innehavare, efterföljare till dedikerad HSM).
• Azure Key Vault Standard skyddar nycklar i programvara på FIPS 140-2 nivå 1; Key Vault Premium och Managed HSM använder FIPS 140-3 nivå 3-validerade Marvell LiquidSecurity HSM:er.
• Azure Dedicated HSM går i pension: ingen ny onboarding sedan augusti 2025, fullt stöd till och med 31 juli 2028, med Azure Cloud HSM som dess efterträdare.
• Key Vault stöder RSA-nycklar på 2048, 3072 och 4096 bitar och EC-kurvorna P-256, P-384, P-521 och P-256K. Symmetriska (AES) nycklar stöds i hanterad HSM.
• Med Bring Your Own Key (BYOK) kan du generera en nyckel lokalt och importera den till Azure inpackad, så att nyckeln aldrig exponeras i klartext under överföringen.

Vad är Microsoft Azure?

Microsoft Azure är en molntjänstplattform som levererar databehandling, lagring, databaser, maskininlärning, nätverk och säkerhet som on-demand-tjänster över internet.

Istället för att köpa och driva sina egna servrar hyr organisationer Azure-resurser och betalar för vad de använder. Azure är tillgängligt över hela världen, har ett brett utbud av efterlevnadscertifieringar och betjänar kunder från små team till stora företag. Den här artikeln fokuserar på Azures datasäkerhetstjänster, särskilt de molnnyckelhanteringsalternativ som lagrar och skyddar kryptografiska nycklar.

Azure Cloud Key Management-tjänster

Azure erbjuder tre primära tjänster för att lagra och hantera kryptografiska nycklar, som huvudsakligen skiljer sig åt i innehav och säkerhetsnivå.

Service	Arrende	FIPS-validering	Bäst för
Azure Key Vault (Standard)	Flera hyresgäster	FIPS 140-2 Nivå 1 (programvaruskyddade nycklar)	Allmänna hemligheter, certifikat och programvaruskyddade nycklar
Azure Key Vault (Premium)	Flera hyresgäster	FIPS 140-3 Nivå 3 (HSM-skyddade nycklar)	HSM-baserade nycklar utan att hantera hårdvara
Hanterad HSM	Pool för enskild hyresgäst	FIPS 140-3 Nivå 3	Reglerade arbetsbelastningar som kräver ensam kontroll över en dedikerad HSM-pool
Azure Cloud HSM	Kluster med en enda hyresgäst	FIPS 140-3 Nivå 3	Efterföljare till dedikerad HSM; fullständig administrativ kontroll med privat anslutning

Key Vault Premium och Managed HSM körs på Marvell LiquidSecurity HSM-hårdvara; Microsoft valde samma LiquidSecurity-familj för Azure Cloud HSM i augusti 2025. Microsoft har också introducerat Azure Integrated HSM, som bäddar in Microsoft-designade HSM-chips direkt i VM-värdservrar för lokal, manipulationssäker nyckelhantering.

Azure Key Vault: Nycklar, hemligheter och certifikat

Azure Key Vault är en tjänst för flera innehavare som skyddar kryptografiska nycklar, hemligheter och certifikat för molnapplikationer.

Key Vault finns i två nivåer. Standardnivån skyddar nycklar med programvara och är validerad enligt FIPS 140-2 nivå 1. Premiumnivån skyddar nycklar med FIPS 140-3 nivå 3-validerade Marvell LiquidSecurity HSM:er. Nya HSM-skyddade nyckelversioner använder FIPS 140-3 nivå 3-plattformen (internt kallad HSM-plattform 2); vissa äldre Premium-nyckelversioner kan fortfarande finnas på den tidigare FIPS 140-2 nivå 2-plattformen. Du kan kontrollera en nyckels hsmPlatform-attribut för att se vilken plattform som skyddar den.

Key Vault stöder följande nyckeltyper och åtgärder:

• RSA-nyckelstorlekar: 2048, 3072 och 4096 bitar.
• Elliptiska kurvtyper: P-256, P-384, P-521 och P-256K (SECP256K1).
• Kryptering / nyckelomslag: Microsoft rekommenderar RSA-OAEP-256. De äldre RSA-OAEP och RSA1_5 (RSA PKCS#1 v1.5) behålls endast för bakåtkompatibilitet.
• Signering och verifiering: RS256/RS384/RS512, PS256/PS384/PS512 och ECDSA (ES256, ES256K, ES384, ES512).
• Symmetriska (AES) tangenter: stöds i hanterad HSM, inte i standard Key Vault.

Key Vault automatiserar även hanteringen av certifikatlivscykeln , inklusive registrering och förnyelse från offentliga certifikatutfärdare. Den fungerar inte som en CA i sig.

Hanterad HSM och Azure Cloud HSM

Managed HSM och Azure Cloud HSM är tjänster med en enda hyresgäst för organisationer som behöver ensam kontroll över dedikerad, FIPS 140-3 nivå 3-validerad hårdvara.

Managed HSM är en helt hanterad pool med hög tillgänglighet för en enda klient. Du får administrativ kontroll över dina nycklar genom lokal rollbaserad åtkomstkontroll, medan Microsoft hanterar maskinvaruunderhåll. Tjänsten är utformad så att Microsoft och dess agenter inte har åtkomst till dina nycklar, vilka aldrig är synliga i klartext för Microsoft-system. Managed HSM stöder RSA-, EC- och symmetriska (AES/okt-HSM) nycklar; 256-bitars AES-nycklar som används där är kvantresistenta.

Azure Cloud HSM är ett HSM-kluster med en enda klient och den generellt tillgängliga efterföljaren till Azure Dedicated HSM. Det erbjuder snabb provisionering, inbyggd redundans över zoner och privat anslutning, medan kunden behåller full kontroll över nycklarna.

Viktigt: Azure Dedicated HSM går i pension. Microsoft slutade acceptera nya Azure Dedicated HSM-kunder i augusti 2025 och kommer att stödja befintliga kunder fram till den 31 juli 2028. Nya kunder bör istället välja Azure Cloud HSM, Managed HSM eller Azure Key Vault. Befintliga nycklar kan inte migreras direkt från Dedicated HSM eftersom Thales Luna HSM-nyckelexportprincipen förhindrar att privata nycklar lämnar modulen, så nya nycklar måste skapas i den efterföljande tjänsten.

Ta med din egen nyckel (BYOK) i Azure

Med Bring Your Own Key (BYOK) kan du generera en nyckel i din egen hårdvarusäkerhetsmodul och importera den till Azure, samtidigt som du behåller kontrollen över nyckelgenereringen.

Med BYOK krypteras (omsluts) nyckeln före överföring, så den exponeras aldrig i klartext på vägen till Azure. När nyckeln har importerats till Azure Key Vault Premium eller Managed HSM stannar den inom FIPS 140-3 Level 3 HSM-gränsen och kan användas för dagliga kryptografiska operationer. BYOK är vanligt inom reglerade branscher där organisationen måste kunna bevisa att den genererade nyckelmaterialet själv. För terminologi och processinformation, se vad BYOK är.

Azure Key Management och post-kvantkryptografi

De symmetriska nycklar som Azure skyddar är redan kvantresistenta, men RSA- och elliptiska kurvnycklar som de flesta arbetsbelastningar förlitar sig på är det inte.

En stor kvantdator som kör Shors algoritm skulle förstöra RSA och ECC, de asymmetriska algoritmerna bakom de flesta Azure-nycklar och -certifikat. AES-256 förblir säker eftersom Grovers algoritm bara halverar dess effektiva säkerhet, vilket lämnar ungefär 128-bitars post-kvantumstyrka. NIST publicerade sina första post-kvantumstandarder i augusti 2024: ML-KEM (FIPS 203) för nyckelinkapsling och ML-DSA (FIPS 204) och SLH-DSA (FIPS 205) för signaturer. Organisationer som lagrar nycklar i Azure bör börja inventera var RSA och ECC används så att de kan planera en migrering till dessa algoritmer när molnstödet anländer.

Hur krypteringskonsulting hjälper

Encryption Consultings Cloud Data Protection Services hjälper dig att designa och hantera nyckelhantering i Azure, inklusive Azure Key Vault, Managed HSM och övergången från Azure Dedicated HSM till Azure Cloud HSM. Vårt team ger råd om FIPS 140-3 Level 3-konfiguration, BYOK, nyckelrotation och åtkomstkontroll så att dina molnnycklar förblir under din kontroll. Vi kartlägger också var RSA och ECC används i din databaser så att du kan planera en post-quantum-migrering. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är Microsoft Azure, enkelt uttryckt?

Microsoft Azure är Microsofts molntjänstplattform. Den hyr ut datorkraft, lagring, databaser, nätverk och säkerhetstjänster över internet, så att organisationer kan bygga och köra applikationer utan att äga fysiska servrar. Azure körs över Microsofts globala nätverk av datacenter och konkurrerar med Amazon Web Services och Google Cloud Platform. För datasäkerhet lagrar och skyddar deras nyckelhanteringstjänster (Azure Key Vault, Managed HSM och Azure Cloud HSM) kryptografiska nycklar.

Vad är skillnaden mellan Azure Key Vault, hanterad HSM och Azure Cloud HSM?

Azure Key Vault är en tjänst med flera innehavare: dess Standard-nivå skyddar nycklar i programvara (FIPS 140-2 nivå 1) och dess Premium-nivå använder FIPS 140-3 nivå 3-validerade HSM:er. Managed HSM är en pool med en enda innehavare, FIPS 140-3 nivå 3, som du kontrollerar. Azure Cloud HSM är ett HSM-kluster med en enda innehavare och efterföljaren till den pensionerade Azure Dedicated HSM. Key Vault Premium och Managed HSM körs på Marvell LiquidSecurity-hårdvara, som Microsoft också valde för Azure Cloud HSM i augusti 2025.

Vilken FIPS 140-nivå är Azure Key Vault?

Azure Key Vault Standard är validerad enligt FIPS 140-2 nivå 1 eftersom den skyddar nycklar i programvara. Azure Key Vault Premium och Managed HSM använder FIPS 140-3 nivå 3-validerade Marvell LiquidSecurity HSM:er. Nya HSM-skyddade nycklar använder FIPS 140-3 nivå 3-plattformen, medan vissa äldre Premium-nyckelversioner fortfarande kan finnas på den tidigare FIPS 140-2 nivå 2-plattformen. Du kan kontrollera en nyckels hsmPlatform-attribut för att bekräfta vilken plattform som skyddar den.

Har Azure Key Vault stöd för BYOK (Bring Your Own Key)?

Ja. Azure stöder Bring Your Own Key, vilket låter dig generera en nyckel i din egen lokala HSM och importera den till Azure Key Vault Premium eller Managed HSM. Nyckeln krypteras (omsluts) under överföringen så att den aldrig exponeras i klartext, utan sedan lagras inom Azure HSM-gränsen. BYOK ger dig kontroll över nyckelgenerering samtidigt som du fortfarande använder Azure-tjänster för dagliga kryptografiska åtgärder.

Är Azure Dedicated HSM fortfarande tillgängligt?

Azure Dedicated HSM tas ur bruk. Microsoft slutade acceptera nya kundregistreringar i augusti 2025 och kommer att stödja befintliga kunder fram till den 31 juli 2028. Dess efterföljare är Azure Cloud HSM, ett FIPS 140-3 nivå 3-validerat HSM-kluster med en enda klient. Nya kunder bör istället utvärdera Azure Cloud HSM, Managed HSM eller Azure Key Vault. Befintliga nycklar kan inte migreras direkt från Dedicated HSM på grund av exportbegränsningar för Thales Luna.

Vilka nyckeltyper och algoritmer stöder Azure Key Vault?

Azure Key Vault stöder RSA-nycklar på 2048, 3072 och 4096 bitar och elliptiska kurvnycklar på P-256, P-384, P-521 och P-256K. Symmetriska (AES) nycklar stöds i Managed HSM, inte standard Key Vault. För kryptering rekommenderar Microsoft RSA-OAEP-256; de äldre RSA-OAEP och RSA1_5 behålls endast för bakåtkompatibilitet. För signering stöds RS256/RS384/RS512, PS256/PS384/PS512 och ECDSA (ES256, ES256K, ES384, ES512).

Skydda dina data i molnet

Redo att få din Azure-nyckelhantering på rätt sätt? Utforska Cloud Data Protection Services eller prata med en krypteringskonsult.