Доступность и избыточность хранилища ключей Azure
Azure Key Vault включает несколько уровней избыточности, чтобы убедиться, что ключи и секреты остаются доступными для приложения, даже если отдельные компоненты службы завершаются ошибкой, или если регионы или зоны доступности Azure недоступны.
Примечание.
Это руководство применимо к хранилищам. Управляемые пулы HSM используют другую модель высокого уровня доступности и аварийного восстановления; Дополнительные сведения см . в руководстве по аварийному восстановлению управляемого устройства HSM.
Репликация данных
Способ реплика хранилища ключей зависит от конкретного региона, в который находится хранилище.
Для большинства регионов Azure, которые связаны с другим регионом, содержимое хранилища ключей реплика как в пределах региона, так и в парном регионе. Парный регион обычно находится по крайней мере в 150 милях, но в пределах того же географического региона. Такой подход обеспечивает высокую устойчивость ключей и секретов. Дополнительные сведения о парах регионов Azure см . в парных регионах Azure. Два исключения — это регион Южной Бразилии, который связан с регионом в другом географическом регионе, а также регионом "Западная часть США 3". При создании хранилищ ключей в Южной Бразилии или западной части США 3 они не реплика между регионами.
Для регионов Azure, которые не имеют пары, а также регионов Южной Бразилии и западной части США 3, Azure Key Vault использует хранилище, избыточное между зонами (ZRS), чтобы реплика te ваши данные три раза в пределах региона в независимых зонах доступности. Для Azure Key Vault Premium два из трех зон используются для реплика управления ключами аппаратного модуля безопасности (HSM). Вы также можете использовать функцию резервного копирования и восстановления, чтобы реплика добавить содержимое хранилища в другой регион.
Отработка отказа в регионе
Если отдельные компоненты в службе хранилища ключей завершаются сбоем, альтернативные компоненты в регионе, чтобы выполнить запрос, чтобы убедиться, что нет ухудшения функциональности. Вам не нужно предпринимать никаких действий— процесс происходит автоматически и будет прозрачным для вас.
Аналогичным образом, в регионе, где хранилище реплика между зонами доступности, если зона доступности недоступна, Azure Key Vault автоматически перенаправляет запросы в другую зону доступности, чтобы обеспечить высокий уровень доступности.
Отработка отказа между регионами
Если вы находитесь в регионе, который автоматически реплика tes хранилище ключей в дополнительный регион, то в редких случаях, когда весь регион Azure недоступен, запросы, которые вы делаете из Azure Key Vault в этом регионе, автоматически перенаправляются (отработка отказа) в дополнительный регион. Когда основной регион снова становится доступным, запросы отправляются обратно в основной регион (это называется восстановлением размещения). Опять же, так как это происходит автоматически, то никаких дополнительных действий предпринимать не нужно.
Важно!
Отработка отказа между регионами не поддерживается в следующих регионах:
- Любой регион, у которых нет парного региона
- Южная Бразилия
- Юго-Восточная Бразилия
- Западная часть США 3
Все остальные регионы используют геоизбыточное хранилище с доступом для чтения (RA-GRS) для реплика те данных между парными регионами. Дополнительные сведения см. в разделе служба хранилища Azure избыточности: избыточность в дополнительном регионе.
В регионах, которые не поддерживают автоматическое реплика tion в дополнительный регион, необходимо запланировать восстановление хранилищ ключей Azure в сценарии сбоя региона. Чтобы создать резервную копию хранилища ключей Azure и восстановить его в выбранном регионе, выполните действия, описанные в статье Резервное копирование в Azure Key Vault.
Благодаря своей архитектуре, обеспечивающей высокий уровень доступности, Azure Key Vault не прекращает работу на время обслуживания.
Существует несколько моментов, на которые следует обратить внимание.
В случае отработки отказа для региона на отработку отказа службы может потребоваться несколько минут. Запросы, сделанные в течение этого времени до отработки отказа, могут завершиться ошибкой.
Если вы используете приватный канал для подключения к хранилищу ключей, это может занять до 20 минут, чтобы повторно установить подключение в случае отработки отказа региона.
Во время отработки отказа хранилище ключей используется только для чтения. Следующие операции поддерживаются в режиме только для чтения:
- Список сертификатов
- Получение сертификатов
- Вывод списка секретов
- получение секретов;
- Отобразить ключи
- получение ключей и их свойств;
- Шифрование
- расшифровка;
- Переносить
- Распаковка
- Проверка
- Подписание
- Резервное копирование
Во время отработки отказа вы не сможете вносить изменения в свойства хранилища ключей. Вы не сможете изменить политику доступа или конфигурации брандмауэра и параметры.
После восстановления размещения становятся доступными все типы запросов (в том числе чтение и запись).