Zabezpečení sítě pro azure Cloud HSM

Zajištění robustního zabezpečení sítě je zásadní při používání azure Cloud HSM. Tento článek obsahuje pokyny týkající se konfigurace privátního koncového bodu, nastavení DNS, požadovaných portů, pravidel skupiny zabezpečení sítě (NSG) a umístění virtuálních počítačů, které vám pomůžou zabránit neoprávněnému přístupu a zlepšit celkové zabezpečení.

Privátní koncový bod

Pokud chcete zvýšit zabezpečení nasazení HSM cloudu Azure, použijte privátní podsítě a privátní koncové body. Umožňují zabezpečená připojení ke cloudovému HSM Azure prostřednictvím privátního propojení, aby usnadnila připojení privátníCH IP adres z vaší virtuální sítě.

Privátní koncový bod zajišťuje, že provoz mezi vaší virtuální sítí a službou Azure prochází páteřní sítí Microsoftu pro zabezpečení a privátní komunikaci. Tento proaktivní přístup posiluje stav zabezpečení vaší aplikace minimalizací ohrožení potenciálních hrozeb z internetu.

Pokyny k vytvoření privátního koncového bodu pro Azure Cloud HSM najdete v tématu Nasazení Azure Cloud HSM pomocí portálu Azure nebo nasazení Azure cloudových HSM pomocí Azure PowerShell. Úplný návod k integraci Private Link, včetně správy a ověřování DNS, najdete v tématu Integrace Azure cloudových HSM s Azure Private Link.

Privátní DNS

Když pro Azure Cloud HSM vytvoříte privátní koncový bod, přiřadí služba každému uzlu HSM privátní název hostitele DNS v následujícím formátu:

hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net

Pokud chcete tyto názvy hostitelů překládat z vaší virtuální sítě, nakonfigurujte privátní zónu DNS pro privatelink.cloudhsm.azure.net a propojte ji s virtuálními sítěmi, které obsahují virtuální počítače pro správu a aplikace. Když vytvoříte privátní koncový bod prostřednictvím portálu Azure, můžete povolit automatickou integraci privátní zóny DNS na kartě DNS.

Note

Virtuální počítač správce a aplikační virtuální počítače musí být schopné přeložit název hostitele HSM. Pokud se překlad názvů DNS nezdaří, nástroje azcloudhsm_client a azcloudhsm_mgmt_util se nemohou připojit ke clusteru HSM. Před spuštěním nástrojů HSM ověřte překlad DNS spuštěním nslookup <hsm-hostname> z virtuálního počítače.

Požadované porty

Azure Cloud HSM používá následující porty. Ujistěte se, že pravidla skupiny zabezpečení sítě a všechny brány firewall povolují provoz na těchto portech z vašich podsítí virtuálních počítačů do privátního koncového bodu.

Port Direction nástroj Purpose
2224 Odchozí (VM → HSM) azcloudhsm_client Front-end klienta (TCP přes TLS)
2225 Odchozí (VM → HSM) azcloudhsm_client Front-end klienta (TCP přes TLS)
443 Odchozí (VM → HSM) azcloudhsm_client Žádosti klientů
444 Odchozí (VM → HSM) azcloudhsm_mgmt_util Žádosti o nástroj pro správu
445 Internal Service Komunikace mezi servery (uzly HSM)

Pravidla NSG

Když nasadíte správcovské a aplikační virtuální počítače do podsítě se skupinou zabezpečení sítě (NSG), přidejte odchozí pravidla, která umožní provoz do vašeho privátního koncového bodu HSM na požadovaných portech. Příklady:

Priority Name Source Cíl Port Protocol Činnost
100 Povolit –HSM-Client VirtualNetwork <private-endpoint-IP> 2224, 2225 protokol TCP Povolit
110 Povolit –HSM-Mgmt VirtualNetwork <private-endpoint-IP> 443, 444 protokol TCP Povolit

Nahraďte <private-endpoint-IP> privátní IP adresu přiřazenou privátnímu koncovému bodu HSM cloudu nebo použijte rozsah adres podsítě, který obsahuje privátní koncový bod.

Umístění virtuálního počítače

Azure Cloud HSM používá architekturu klient–démon. Proces azcloudhsm_client démon musí běžet na stejném virtuálním počítači jako vaše aplikace, protože aplikace komunikuje s démonem přes místní soket. To znamená:

  • Virtuální počítač pro správu: používá se k počátečnímu nastavení HSM, správě uživatelů, správě klíčů a operacím zálohování. Spouští azcloudhsm_mgmt_util a azcloudhsm_util.
  • Aplikační virtuální počítače: spouštějí vaše úlohy (například Apache, NGINX, SQL Server nebo vlastní aplikace) a musí všechny spouštět vlastní instanci azcloudhsm_client.

Oba typy virtuálních počítačů se musí nacházet ve virtuální síti, která má připojení k privátnímu koncovému bodu cloudového HSM.

Tip

Doporučujeme umístit prostředky cloudového HSM do samostatné skupiny prostředků od klientských virtuálních počítačů a virtuální sítě. To zlepšuje správu a oddělení zabezpečení. Podrobnosti najdete v tématu Nasazení Azure Cloud HSM pomocí portálu Azure.

Místní připojení

Pokud podpisové servery nebo aplikace běží místně, můžete je připojit k Azure Cloud HSM pomocí Službu Azure VPN Gateway:

V obou případech musí hostitel v místním prostředí spouštět démona azcloudhsm_client a musí být schopen dosáhnout na IP adresy privátního koncového bodu HSM prostřednictvím tunelu VPN.

Související obsah

  • Poslední aktualizace v