専用ハードウェアセキュリティモジュール (HSM) を利用すると、暗号操作および安全な鍵管理のための物理 HSM デバイスに排他的にアクセスできます。仮想 HSM とは異なり、専用 HSM は他のユーザーと共有されず、グループ内のすべての HSM について完全な管理権限を有します。
専用 HSM とは
Alibaba Cloud 専用 HSM は、PCI DSS および FIPS 140-2 Level 3 標準に準拠しており、中国の暗号認証および PCI PIN 要件も満たしています。また、クラウド上のビジネスデータに対する安全な鍵管理、暗号化および復号操作を実現するため、RSA、3DES、SHA アルゴリズムシリーズをサポートします。
パフォーマンス専有型または高可用性を要するユースケースでは、複数の専用 HSM を HSM グループとしてデプロイし、複数のアプリケーションサーバにサービスを提供します。
専用 HSM を利用する理由
コンプライアンス対応
専用 HSM は、PCI DSS、FIPS 140-2 Level 3、中国の暗号認証、PCI PIN などの各種標準を満たしており、商用暗号アプリケーションセキュリティ評価の要件にも対応しています。
物理的隔離
各専用 HSM インスタンスは物理的に隔離されており、共有環境と比較して、機密データ処理に対してより強固なセキュリティ境界を提供します。
高可用性および信頼性
大量の同時リクエストを処理でき、業務継続性を維持します。
HSM グループ構成をサポート — 複数の専用 HSM を可用性ゾーン間で分散してデプロイし、複数のアプリケーションサーバにサービスを提供します。
ゾーン間デプロイメントにより、HSM 間の独立かつ冗長なネットワークパスを活用したディザスタリカバリを実現します。
標準的な統合インターフェイス
専用 HSM は、既存アプリケーションとのシームレスな統合を可能にする一般的な開発インターフェイスをサポートします。
マネージドオペレーション
専用 HSM は自動運用・保守機能を提供するため、基盤となるハードウェアの管理ではなく、暗号化ワークロードに集中できます。
仕組み
高可用性を実現するには、同一リージョン内で少なくとも 2 つの可用性ゾーンに 2 台以上の専用 HSM をデプロイし、それらを HSM グループとして構成します。
SDK を使用して、エンドポイントのドメイン名または ENI IP を介して HSM グループにアクセスします。アプリケーションが接続すると、負荷分散機能が各リクエストを最適な HSM に自動的にルーティングします。PrivateLink を使用することで、すべてのデータ通信をプライベートネットワーク内に閉じることができ、HSM 間の独立したネットワークパスにより、冗長性および障害復旧能力が向上します。
以下の図は、2 台の HSM を構成した例を示しています：
図に示す Network Load Balancer (NLB) および PrivateLink のコストは、HSM サービスに含まれています。追加料金は発生しません。
購入手順
専用 HSM の納期は、HSM モデルおよび納入先リージョンによって異なります。ご質問やカスタマイズ要件がある場合は、お問い合わせください。