微软发表Azure Dedicated HSM，让企业于云端托管加密金钥

微软Azure专用硬件安全模组（HSM），为Azure提供加密金钥储存，使用者现在可以托管加密金钥并且执行加密操作，以满足企业严格的安全性以及法遵要求，现在于包括亚洲和美洲等8个区域可用。

Azure专用HSM带来主要的好处，包括方便搬迁受HSM保护的应用程序、维持云端应用程序的安全性并合乎法规。微软提到，Azure专用HSM能用于将HSM应用程序，从其他云端平台迁移至Azure，适用需要FIPS 140-2 Level 3、Common Criteria EAL 4+、NITES或Brazil ITE，但不需要RSA和ECC加密的应用程序，实际使用情境包括将应用程序从企业内机房搬迁上Azure虚拟机器，或是在Azure虚拟机器中执行收缩包装的软件，另外，也能用于跨Azure云端和企业内部机房的混合云架构。Azure专用HSM可以用来备份企业内部的金钥，使用者能完全管理云端中的HSM。

应用程序搬迁至Azure除了有个位数毫秒延迟保证外，还有加密操作达10,000 RSA-2048 tps高吞吐量，Azure专用HSM支援每个HSM最高10个分区（Partition），以实现应用程序使用的灵活性，同时也可以增加每个装置的容量与能力。

微软强调，Azure专用HSM装置已通过FIPS 140-2 Level 3和eIDAS Common Criteria EAL4+认证，可满足企业的安全性以及法遵要求。另外，微软无法查看储存在Azure专用HSM中的加密金钥，使用者拥有完全的管理以及加密控制权。

微软也提醒了Azure专用HSM不适合的用例，包括微软Azure云端支援以客户管理金钥加密的服务，像是Azure Information Protection、Azure Disk Encryption、Azure Data Lake Store、Azure Storage、Azure SQL还有Office 365 Customer Key，都未整合在Azure专用HSM中。使用此类PaaS或SaaS的使用者，仰赖微软提供的可用性以及灾难恢复，并防止自有的金钥被意外的删除，这类服务透过Azure Key Vault提供使用者受管理的金钥。

使用者可以直接在Azure中的虚拟网络上设定Azure专用HSM，该服务还能透过VPN连结到企业内部机房基础设施。Azure专用HSM在美东、美西、东南亚、东亚、西欧和北欧等8个区域服务，并在未来计划扩展到其他Azure区域。