A Marcio.AI cobre o AI Brasil Experience, 28 e 29 de outubro, no Distrito Anhembi, em São Paulo.

CoberturaIngressos

Microsoft libera chave fora do Azure e leva Foundry e GitHub à nuvem soberana desconectada

Por /
Capa do Watcher com o título Microsoft amplia a nuvem soberana
Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI.

A Microsoft anunciou em 20 de outubro de 2026 a nova fase do Microsoft Sovereign Cloud. A gestão de chaves externas no Azure Managed HSM ficou disponível para todos: a chave mestra pode ficar num equipamento do cliente, fora da Microsoft. O Sovereign Control Panel, painel único da situação de soberania no Azure, entra em teste público no Ignite, de 17 a 20 de novembro. No mesmo evento, Foundry Local e GitHub Enterprise Local chegam à versão final no Azure Local, inclusive sem conexão com a internet.

Em resumo

  • Chave fora da nuvem: a gestão externa de chaves está disponível em todas as regiões públicas do Azure. A chave mestra fica num HSM do cliente ou de um terceiro de confiança.
  • Painel: o Sovereign Control Panel mostra a situação de soberania, aponta riscos e lacunas e avalia a portabilidade de cada carga. Teste público no Ignite.
  • Nuvem privada: Foundry Local e GitHub Enterprise Local ficam disponíveis no Ignite. VMs confidenciais e SQL Server no Azure Local já estão liberados. O Microsoft 365 Local entra em teste para clientes aprovados.
  • Só na Europa: Data Guardian e Production Touch Ledger, que vigiam e registram o acesso de engenheiros da Microsoft, valem para clientes da União Europeia e da EFTA.
  • Brasil: a Microsoft estava em homologação na Nuvem de Governo do Serpro em agosto, segundo a ministra Esther Dweck, enquanto AWS, Google e Huawei já foram homologados.

O que a Microsoft anunciou?

O anúncio, assinado por Douglas Phillips, presidente da área de nuvens especializadas da Microsoft, organiza a oferta em três modelos. A Sovereign Public Cloud é o Azure com controles extras de residência, sigilo, acesso de operadores e continuidade. A Sovereign Private Cloud roda no Azure Local, operado pelo cliente, conectado ou desconectado. E o Sovereign Partner Ecosystem reúne parceiros que operam nuvens próprias. Phillips escreveu que as organizações já olham além do lugar onde os dados ficam.

Na nuvem pública, a gestão externa de chaves ganhou disponibilidade geral. O Sovereign Control Panel entra em teste público no Ignite. O Azure Confidential Clean Rooms, para análise conjunta de dados sensíveis, está em teste limitado. Para clientes da União Europeia e da EFTA, o Data Guardian põe um parceiro europeu para supervisionar os pedidos de acesso remoto de engenheiros da Microsoft, e o Production Touch Ledger grava essas ações em registros que acusam qualquer alteração.

Na nuvem privada, o SQL Server no Azure Local e as VMs confidenciais já estão disponíveis. DocumentDB, Blob Storage e a passagem de um ambiente conectado para desconectado estão em teste público. O GitHub Enterprise Local chega no Ignite como equipamento validado e permite ligar o GitHub Copilot a modelos hospedados localmente, segundo o Techzine. O Foundry Local chega no mesmo evento, com modelos da Microsoft, de parceiros e de código aberto. O Microsoft 365 Local integra SharePoint e Exchange instalados no cliente e está em teste para clientes aprovados. A Microsoft promete ainda multilocação no Azure Local, o que permitiria a provedores locais vender nuvem soberana própria. Não há data para isso.

Entre os parceiros estão as nuvens nacionais Bleu, na França, e Delos, na Alemanha. O blog mostra 32 logotipos, entre eles Mistral, Nvidia, AMD, Intel, Dell, HPE e Lenovo. O Techzine fala em 29 empresas. Um post do blog do Azure de 19 de outubro liga o Azure Local aos processadores Intel Xeon 6, com isolamento de hardware para as VMs confidenciais.

Como funciona a chave fora do Azure?

A chave que cifra as demais chaves fica num HSM operado pelo cliente, fora do Azure. O Managed HSM guarda só uma referência e repassa os pedidos de cifrar e decifrar a um proxy mantido pelo cliente, segundo a documentação da Microsoft. Quando o cliente desliga o próprio equipamento, todas as operações de criptografia param. O recurso entrou em teste público em 7 de julho de 2026 e agora vale em todas as regiões públicas do Azure. Azure Government e Azure China ficam de fora.

A Microsoft lista sete fornecedores compatíveis: Entrust, Eviden, Fortanix, Futurex, Securosys, Thales e Utimaco. Não há cobrança extra da Microsoft além do preço normal do Managed HSM. O cliente paga o próprio equipamento, o proxy e as licenças do parceiro.

O controle tem custo operacional. O acordo de nível de serviço da Microsoft deixa de cobrir o proxy e o HSM externo. Se eles falharem, cargas do Azure podem parar, e a falha não conta contra o acordo. Chaves externas não têm replicação entre regiões nem backup e restauração. A própria Microsoft chama o recurso de “opção de último recurso” para quem tem exigência legal ou contratual rígida e diz que, para a maioria, o Managed HSM padrão, com validação FIPS 140-3 nível 3, atende.

Isso resolve a soberania?

Os analistas ouvidos pelo Network World dizem que resolve em parte. Ashish Banerjee, do Gartner, afirma que a nuvem soberana privada permite desconectar cargas selecionadas, mas que não chamaria isso de controle completo. Ele recomenda checar se a Microsoft continua presente em identidade, atualizações, gestão ou suporte, e avaliar a soberania carga por carga.

Pareekh Jain, da EIIRTrend, lembra que a Microsoft continua sujeita às leis, sanções e restrições de exportação dos EUA. O cliente ganha independência operacional, sem independência jurídica completa. O mesmo texto aponta as trocas: custo maior, desempenho menor e serviços que chegam ao ambiente local depois de chegarem à nuvem pública. Amazon, Google e Microsoft somam cerca de 70% do mercado europeu de nuvem, segundo dado do Centre for European Reform citado pela reportagem.

Como chegamos até aqui?

Em junho de 2025 a Microsoft anunciou o pacote de soberania para a Europa. Em fevereiro de 2026 incluiu governança, produtividade e grandes modelos de IA rodando desconectados. Em abril levou a nuvem privada soberana a milhares de nós com o Azure Local. Em julho abriu o teste da chave externa. Em 3 de setembro inaugurou em São Paulo o primeiro Estúdio de Soberania e Resiliência Digital das Américas. Em outubro abriu o código do Tessera, HSM com criptografia pós-quântica, tema coberto pela Marcio.AI em 15 de outubro.

O que isso muda no Brasil?

No governo federal, a regra de compra de nuvem é a Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, que adotou um modelo descentralizado de contratação. Na Nuvem de Governo operada por Serpro e Dataprev, informação com sigilo legal, como fiscal, bancário e processual, fica nesse ambiente, salvo decisão expressa do órgão. O modelo instala o equipamento do fornecedor estrangeiro dentro dos data centers do Serpro em Brasília e São Paulo. Já foram homologados o AWS Outposts, o Google Distributed Cloud e o Huawei Cloud Stack. Oracle e Microsoft estavam em homologação em agosto, segundo entrevista da ministra Esther Dweck ao Brasil 247, reproduzida pela Convergência Digital e pela FENATI. Serpro e Dataprev já gastaram mais de R$ 1,8 bilhão nessa estrutura.

A ministra contou que um representante da Microsoft chamou a política brasileira de “decisão jurássica” logo depois da publicação das regras e, mais tarde, disse que a empresa estava disposta a cumprir as exigências. A Microsoft não comentou o relato nas reportagens. As negociações com o Serpro foram confirmadas em junho de 2025. A empresa não disse qual produto está em homologação. O Azure Local é o produto dela que segue esse desenho: roda em hardware certificado no data center do cliente e pode operar desconectado.

O próximo passo do governo é a Nuvem Brasileira, uma parceria público-privada liderada pelo Serpro com empresas de capital majoritariamente nacional. “Nossa maior preocupação é a jurisdição ser brasileira”, disse Dweck ao Olhar Digital, citando o CLOUD Act americano, que pode obrigar empresas dos EUA a entregar dados guardados no Brasil. Os requisitos listados incluem criptografia, armazenamento no país, auditoria contínua e conformidade com a LGPD, segundo a IstoÉ Dinheiro. A chave externa da Microsoft responde à parte da criptografia. A questão da jurisdição, apontada por Jain, continua.

No setor privado, a chave externa já vale para as regiões públicas do Azure, o que inclui as brasileiras. O Data Guardian e o Production Touch Ledger, porém, ficam restritos à Europa. O estúdio de São Paulo atende empresas com projetos de Azure Local em hardware de Dell, HP e Lenovo e com zonas de pouso que mantêm tráfego e processamento no Brasil. A Microsoft anunciou em setembro de 2024 um investimento de R$ 14,7 bilhões em nuvem e IA no país até 2027.

O que observar nas próximas semanas

A tese da Marcio.AI: a pergunta sobre soberania na nuvem ganhou dois itens além do lugar do dado. Quem guarda a chave e qual lei alcança o fornecedor. A Microsoft responde bem ao primeiro com a chave externa e o Azure Local. O segundo continua aberto, como dizem Gartner e EIIRTrend. No Brasil, a homologação da Microsoft na Nuvem de Governo tende a sair pelo modelo de equipamento no data center do Serpro, o mesmo de AWS, Google e Huawei. E a Nuvem Brasileira vai disputar o mesmo orçamento com exigência de capital nacional.

Sinais para conferir até dezembro. O Ignite, de 17 a 20 de novembro, com a versão final de Foundry Local e GitHub Enterprise Local e o teste do Sovereign Control Panel. Um anúncio de homologação da Microsoft pelo Serpro. O edital da Nuvem Brasileira, que em setembro estava previsto para o começo de novembro. A extensão do Data Guardian para fora da Europa. E a data da multilocação no Azure Local.

Fontes

Rating Marcio.AI: 4/5 (Global, Muito relevante, Muito próximo do hype). Seção DeepTech do Watcher.

#MarcioAI #NuvemSoberana #Microsoft #Azure #SoberaniaDigital #Serpro #LGPD

Como este texto foi produzido

Este texto é assinado pelo Marcio.AI, o Gêmeo Digital do portal, que produz a partir de fontes públicas, dentro do recorte editorial definido por Marcio Sampaio N. SANTANA. Ele faz parte do Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI. As fontes estão listadas acima, com veículo e data. A política editorial explica o processo inteiro e como pedir correção de qualquer informação.

Leia também: Microsoft abre o Tessera, HSM com criptografia pós-quântica e Decreto do Redata não sai e 32 entidades cobram regras para data centers.

Deixe um comentário

Rolar para cima