Azure の専用 HSM のサポート

[アーティクル]
02/20/2024

Azure Dedicated HSM サービスでは、完全な管理制御と管理責任が備えられた、お客様専用の物理デバイスが提供されます。使用できるようになったデバイスは、Thales Luna 7 HSM モデル A790 です。お客様がプロビジョニングを行った後は、監視の役割で物理シリアルポートに接続することを除き、Microsoft による管理アクセスはできなくなります。アクセス権がないため、Microsoft には継続的なソフトウェアレベルのメンテナンスまたはシステム管理の責任はありません。そのため、お客様が一般的な運用アクティビティを担当する必要があります。お客様は、HSM を使用しているアプリケーションについての全責任を負い、サポートまたはコンサルティングベースの支援を受けるために Thales と連携する必要があります。運用上の健全性についてお客様が所有する範囲に基づき、Microsoft はこのサービスについていかなる高可用性も保証することはできません。高可用性を実現するためにアプリケーションが正しく構成されていることを確認するのは、お客様の責任です。 Microsoft は、デバイスの正常性とネットワーク接続の監視および管理を行います。

サポートの利用

専用 HSM のカスタマーサポートは、Microsoft と Thales の間の共同の取り組みです。ハードウェアの問題やネットワークパスの問題はすべて Microsoft が対処し、実際の HSM (構成、ソフトウェア、ファームウェア、およびアプリケーション開発など) に関連する問題は Thales が対処します。このサポートモデルにより、最も効率的なサポートを受けるための最短ルートが確保されます。ある特定の問題について不確かな場合は、Microsoft にサポート要求を上げていただければ、適切な部署が対処するようにします。 Microsoft はすべてのサポートナリオに関与し続けて、お客様が最良のサポート体験をできるように努力します。

Thales のサポート

専用 HSM サービスを使用しているお客様は、ご利用の Plus サポートプランにより、Thales からのサポートを受けることができます。これに必要なのは、Thales サポートポータルを使用した登録プロセスだけです。このための顧客 ID と手順は、専用 HSM サービスにアクセスするための Microsoft との初期契約の一部として提供されます。 Thales のサポートは、カスタマーサポートポータルを通して受けることができます。注目すべき重要な点は、HSM を使用するために必要なすべてのソフトウェアと資料 (たとえば、クライアントアクセスソフトウェアや SDK) は、カスタマーサポートポータルからのダウンロードによって Thales が提供するという点です。

ソフトウェアコンポーネント

HSM デバイスの構成には、さまざまなソフトウェアコンポーネントが使用されています。

クライアントソフトウェア
SDK
ツール

ガイダンス

Thales は、Thales カスタマーサポートポータルで管理および構成についてのガイダンスを公開しています。有効な顧客 ID を使用してサインインすると、これらのドキュメントをダウンロードできます。 Thales は、さまざまなシナリオやソフトウェアの統合を支援する一連の統合ガイドも提供しています。詳細については、Thales の Microsoft パートナーサイトを参照してください。

サポート

専用 HSM サービスの一部で、ソフトウェアレベルの問題や HSM の使用に関する質問が発生した場合、Thales のサポートが直接対応します。上記の一覧のすべてのソフトウェアコンポーネントおよびプロビジョニング後のカスタム HSM 構成は、Thales が対応します。詳細については、Thales カスタマーサポートポータルを参照してください。

コンサルティングサービス

HSM を使用するカスタムアプリケーションの設計、開発、およびデプロイのサポートについては、Thales のアカウント担当者にお問い合わせください。

Microsoft のサポート

Microsoft では、物理 HSM デバイスがネットワークを通じてアクセス可能で、1 人のお客様が占有して使用できる動作状態になるようにします。お客様は、デバイスの構成、管理、マネージメントの責任を負います。 Microsoft の責任は次のとおりです。

デバイスの電源および冷却
HSM の動作状態の維持 (障害シナリオなど)
ネットワーク経由でのデバイスへのアクセス

次のような問題は、Microsoft に報告されます。

コンポーネント障害
完全なデバイス障害
ネットワークアクセスの問題
プロビジョニングおよびプロビジョニング解除の問題

Microsoft は、監視ロール (つまり、管理ロールではない) でデバイスの物理シリアルポートにアクセスすることで、基本的な正常性テレメトリを実施します。これにより、Microsoft は、お客様に問題の事前通知を行えるようになります。ただし、お客様がこのアクセス許可を制限した場合は除きます。

プロビジョニングとプロビジョニング解除

お客様が専用 HSM サービスの登録を承認すると、HSM リソースを作成できるようになります (現在のところ、PowerShell またはコマンドラインインターフェイスを使用します。Azure portal は使用できません)。リソースの割り当てプロセスが実行され、指定されたリージョンの物理デバイスがお客様によって事前に定義された仮想ネットワーク (VNet) にマップされます。デバイスが VNet に表示されると、デバイスにアクセスして要件に従って構成できるようになります。お客様は、Thales クライアントソフトウェアおよびツールを使用して、専用 HSM にアクセスします。リソース作成プロセスは、Microsoft がサポートを行います。カスタム構成プロセス以降は、Thales がサポートを行います。 (上記の Thales サポートを参照して下さい)。 HSM の使用が終わった際には、データが永続化されないように、リセット (またはゼロ埋め) を行う必要があります。デバイスをリセットするプロセスによって、すべてのカスタム構成とデータが削除されます。 Microsoft は、デバイスの割り当てを解除し、きれいな状態でプールに返します。つまり、デバイスがプールに返される際には、以前のお客様のアクティビティの証拠は残されません。

ハードウェアの問題

HSM デバイスの電源とファンユニットは、冗長かつ交換可能になっています。ただし、ファンユニットを取り外しても、改ざんイベントは発生します。コンポーネントの障害が発生した場合、Microsoft は中断時間が最も短く、お客様のサービス可用性に対するリスクが最も低くなるように、最適なプロセスを使用してコンポーネントレベルの問題に対処します。デバイスにより深刻な障害が発生した場合、そのデバイスを空きプールの新しいデバイスと交換します。お客様が新しいデバイスを既存の HA ペアに含めると、デバイスが同期されて完全な運用状態に戻ります。障害が発生したデバイスは、データ関連のデバイスを切り離させ、データセンターのサイト上に細分化させます。

ネットワークの問題

HSM デバイスに対するネットワークアクセスの問題が発生した場合は、Microsoft のサポートに問い合わせる必要があります。ネットワークアクセスを確認する簡単なテストでは、SSH を使用して HSM デバイスに接続します。これに失敗した場合は、Microsoft サポートにお問い合わせください。

サポートで期待されるサービスレベル

Microsoft のサポートのサービスレベルについては、Azure のサポートプランを参照してください Thales のサポートのサービスレベルについては、Thales サポートの要点に関するページを参照してください。

次のステップ

デバイスのプロビジョニングやアプリケーションの設計、アプリケーションのデプロイ前に、高可用性やセキュリティの主要概念を十分に理解しておくことをお勧めします。