Panoramica dell'eliminazione temporanea dell'HSM gestito

La funzionalità di eliminazione temporanea del HSM gestito consente il ripristino di HSM e chiavi eliminati. In particolare, questa funzionalità offre le misure di sicurezza seguenti:

• Dopo l'eliminazione di un modulo di protezione hardware o di una chiave, rimane recuperabile per un periodo configurabile da 7 a 90 giorni di calendario. È possibile impostare il periodo di conservazione quando si crea un HSM (Hardware Security Module). Se non si specifica un valore, verrà usato il periodo di conservazione predefinito di 90 giorni. Questo periodo offre agli utenti tempo sufficiente per notare una chiave accidentale o l'eliminazione del modulo di protezione hardware e rispondere.
• Per eliminare definitivamente una chiave, gli utenti devono eseguire due azioni. Innanzitutto devono eliminare la chiave, il che la inserisce nello stato di eliminazione morbida. In secondo luogo, è necessario ripulire la chiave nello stato di eliminazione temporanea. L'operazione di eliminazione richiede il ruolo di Crypto Officer del Managed HSM. Queste misure di sicurezza aggiuntive riducono il rischio che un utente elimini accidentalmente o dannosamente una chiave o un modulo di protezione hardware.

Comportamento della funzione di eliminazione temporanea

Il soft delete non può essere disattivato per le risorse Managed HSM.

Le risorse contrassegnate come eliminate vengono mantenute per un periodo specificato. Esiste anche un meccanismo per il ripristino di moduli di protezione hardware o chiavi eliminati, in modo da poter annullare le eliminazioni.

Il periodo di conservazione predefinito è 90 giorni. Quando si crea una risorsa HSM, è possibile impostare l'intervallo della politica di conservazione su un valore compreso tra 7 e 90 giorni. La politica di conservazione della protezione dall'eliminazione utilizza lo stesso intervallo. Dopo aver impostato i criteri di conservazione, non è possibile modificarlo.

Non è possibile riutilizzare il nome di una risorsa HSM eliminata temporaneamente fino al termine del periodo di conservazione e la risorsa HSM viene eliminata definitivamente.

Protezione dalla rimozione definitiva

La protezione dall'eliminazione è un comportamento facoltativo. Non è abilitata per impostazione predefinita. È possibile attivarlo usando l'Azure CLI o PowerShell.

Quando la protezione dalla cancellazione permanente è attivata, un HSM o una chiave nello stato eliminato non possono essere cancellati definitivamente fino al termine del periodo di conservazione. Gli HSM e le chiavi eliminati temporaneamente possono comunque essere recuperati, ciò assicura che i criteri di conservazione saranno in vigore.

Il periodo di conservazione predefinito è 90 giorni. È possibile impostare l'intervallo dei criteri di conservazione su un valore compreso tra 7 e 90 giorni quando si crea un modulo di protezione hardware. L'intervallo della politica di conservazione può essere impostato solo quando si crea un HSM. L'impostazione non può essere modificata in seguito.

Vedere Come usare l'eliminazione temporanea del modulo di protezione hardware gestito con CLI o Come usare l'eliminazione temporanea del modulo di protezione hardware gestito con PowerShell.

Recupero dell'HSM gestito

Quando si elimina un modulo di protezione hardware, il servizio crea una risorsa proxy nella sottoscrizione, aggiungendo metadati sufficienti per abilitare il ripristino. La risorsa proxy è un oggetto archiviato. È disponibile nella stessa posizione dell'HSM eliminato.

Recupero chiave

Quando si elimina una chiave, il servizio lo inserisce in uno stato eliminato, rendendolo inaccessibile a qualsiasi operazione. In questo stato, le chiavi possono essere elencate, ripristinate o eliminate. Per visualizzare gli oggetti, usare il comando della CLI di Azure az keyvault key list-deleted (descritto in Eliminazione temporanea e protezione dalle eliminazioni di HSM gestito con CLI) o il parametro di Azure PowerShell -InRemovedState (descritto in Eliminazione temporanea e protezione dalle eliminazioni di HSM gestito con PowerShell).

Quando si elimina la chiave, il modulo di protezione hardware gestito pianifica l'eliminazione dei dati sottostanti che corrispondono al modulo di protezione hardware o alla chiave eliminati da eseguire dopo un intervallo di conservazione predeterminato. Il record DNS che corrisponde all'HSM viene mantenuto anche durante il periodo di conservazione.

Periodo di memorizzazione dell'eliminazione temporanea

Le risorse eliminate temporaneamente vengono mantenute per un periodo di tempo impostato: 90 giorni. Durante l'intervallo di conservazione dell'eliminazione temporanea, si applicano queste condizioni:

• È possibile elencare tutti gli HSM e le chiavi nello stato di eliminazione temporanea per la sottoscrizione. È anche possibile accedere alle informazioni di eliminazione e ripristino.
• Solo gli utenti con il ruolo di Contributor HSM gestito possono elencare gli HSM eliminati. Per la gestione degli insiemi di credenziali eliminati è consigliabile creare un ruolo personalizzato a cui assegnare queste autorizzazioni.
• I nomi del modulo di protezione hardware (HSM) gestito devono essere univoci in una determinata posizione. Quando si crea una chiave, non è possibile usare un nome se il modulo di protezione hardware contiene una chiave con tale nome in uno stato eliminato.
• Solo gli utenti con il ruolo di Managed HSM Contributor possono elencare, visualizzare, ripristinare e rimuovere i Managed HSM.
• Solo gli utenti con ruolo agente di crittografia del modulo di protezione hardware gestito possono elencare, visualizzare, recuperare ed eliminare le chiavi.

A meno che non venga ripristinato un modulo di protezione hardware o una chiave gestita, al termine dell'intervallo di conservazione, il servizio esegue un'eliminazione del modulo di protezione hardware o della chiave eliminati temporaneamente. Non è possibile riprogrammare l'eliminazione delle risorse.

Implicazioni relative alla fatturazione

HSM gestito è un servizio a tenant singolo. Quando si crea un modulo di protezione hardware gestito, il servizio riserva le risorse sottostanti allocate al modulo di protezione hardware. Queste risorse rimangono allocate anche quando il modulo di protezione hardware si trova in uno stato eliminato. L'HSM verrà fatturato anche quando si trova in stato di eliminazione.

Passaggi successivi

Questi articoli descrivono gli scenari principali per l'uso dell'eliminazione temporanea:

• Come usare l'eliminazione soft dell'HSM gestito con PowerShell
• Come usare l'eliminazione temporanea di "Managed HSM" con la CLI di Azure