Índice de contenidos
Claves de la noticia
- Microsoft anuncia disponibilidad general para la gestión externa de claves con Azure Managed HSM.
- Data Guardian y Production Touch Ledger llegan por fases a la UE y la EFTA; el panel soberano se reserva para una vista previa en Ignite.
- La documentación técnica muestra que custodiar la clave fuera de Azure añade dependencias propias de recuperación, conectividad y supervisión.
Microsoft amplía este 20 de octubre su nube soberana con controles sobre accesos, claves y funcionamiento local. El anuncio reúne funciones con calendarios distintos. Su consecuencia más concreta es que una organización puede conservar fuera de Microsoft la clave que protege otras claves de sus datos, aunque el servicio que utiliza esos datos siga ejecutándose en Azure.
Un anuncio con tres velocidades
Douglas Phillips, responsable de las nubes especializadas de Microsoft, presenta la ampliación como un conjunto de opciones según cada carga de trabajo. Conviene leer su comunicado oficial separando disponibilidad, despliegue y promesas para Ignite: compartir una marca comercial no significa compartir fecha de acceso.
| Control | Estado anunciado |
|---|---|
| Claves externas con Managed HSM | Disponibilidad general |
| Data Guardian y Production Touch Ledger | Despliegue por fases en UE y EFTA |
| Sovereign Control Panel | Vista previa pública en Ignite |
La tabla permite descartar una lectura demasiado amplia: el nuevo panel no está anunciado como producto de disponibilidad general hoy. Tampoco el despliegue europeo equivale a activación inmediata para cualquier sistema. Data Guardian añade supervisión europea mediante un socio de confianza para determinados accesos remotos de ingenieros; Production Touch Ledger registra esos accesos y acciones con protección contra manipulaciones.
La clave externa protege otra clave
La documentación de Managed HSM concreta una distinción decisiva. En el cifrado por envoltura, una clave de datos cifra el contenido y otra clave protege a la primera. La gestión externa traslada esta segunda operación a un módulo de seguridad de hardware, o HSM, operado fuera de la infraestructura de Microsoft. Un intermediario denominado EKM Proxy conecta ambos entornos.
El servicio de Azure sigue cifrando y descifrando los datos. Recuperar la clave de datos protegida no libera la clave externa que la custodia. Por tanto, custodia externa de claves y ejecución fuera de Azure son decisiones separadas. Una organización que necesita ambas debe diseñar ambas; contratar este control por sí solo no traslada aplicaciones, almacenamiento ni procesamiento a sus instalaciones.
El cambio también afecta a la continuidad. La guía advierte de que una avería del proxy, del HSM externo o de su conexión puede interrumpir cargas dependientes aunque Azure funcione. El acuerdo de nivel de servicio de Managed HSM conserva su ámbito, pero no cubre de extremo a extremo los componentes externos. El control físico incorpora una responsabilidad operativa que habrá que presupuestar y probar.
La recuperación tiene dos inventarios
La guía del ciclo de vida de claves externas añade otro límite: Managed HSM conserva una referencia, mientras el material criptográfico permanece en el HSM externo. Las operaciones de copia y restauración de Managed HSM no están soportadas para esas referencias externas. Recuperarlas exige recrear la referencia; respaldar el material corresponde al operador del HSM.
Esto permite formular una comprobación útil antes de producción: recuperar el objeto de Azure y recuperar la clave externa deben figurar como tareas diferentes en el ensayo de desastre. Una copia de los datos no demuestra que puedan abrirse después de perder el dispositivo que protege sus claves. Esa separación cobra sentido junto a otros incidentes de servicios gestionados, como la suspensión de Cloud Backup de ConnectWise, sin atribuir a ambos sistemas la misma causa técnica.
La rotación también requiere coordinación manual. No basta con crear una nueva clave: las versiones antiguas deben seguir disponibles mientras exista información que dependa de ellas. El borrado de la referencia en Azure y la destrucción del material externo son acciones diferentes. Un procedimiento que trate ambas como una única casilla puede dejar datos cifrados sin la operación necesaria para recuperarlos.
Un indicador verde no reconstruye la operación
La guía de supervisión reparte la evidencia entre Managed HSM, el proxy y el HSM. Cada componente genera sus registros. Una sonda correcta confirma conexión y respuesta del proxy, pero no sustituye el seguimiento de operaciones reales sobre claves. El diagnóstico completo exige correlacionar los eventos de los tres componentes.
De ahí se desprende una prueba de aceptación más exigente que comprobar el estado del portal: ensayar una lectura real, identificar su recorrido en los registros y repetir la comprobación durante una recuperación controlada. Es una propuesta operativa derivada de la arquitectura documentada, no una prueba realizada por este medio ni una garantía de Microsoft.
La desconexión ya tenía antecedentes
El anuncio del 24 de febrero ya presentaba Azure Local y productividad local para entornos desconectados. Octubre no inaugura esa idea. La ampliación actual incorpora más opciones y anuncia la transición de cargas conectadas a desconectadas en vista previa pública. Poder operar sin conexión y poder cambiar de modalidad son capacidades relacionadas, pero requieren verificaciones distintas.
Para una empresa española, el punto de partida útil es concretar qué necesita conservar: control de acceso, custodia criptográfica o continuidad local. El debate sobre las barreras para salir de la nube de Microsoft tampoco queda resuelto por añadir controles de claves. La conclusión práctica es precisa: tener la clave fuera de Azure amplía el control criptográfico, pero convierte la recuperación del HSM y su conexión en parte del servicio que la propia organización debe sostener.
Imagen conceptual generada con IA; no representa una instalación concreta de Microsoft.
