Rychlý start: Nasazení azure Cloud HSM pomocí Azure PowerShellu

Cloud HSM Azure je vysoce dostupná služba FIPS 140–3 úrovně 3 ověřená jedním tenantem, která umožňuje nasadit moduly hardwarového zabezpečení (HSM) pomocí různých metod. Mezi tyto metody patří Azure CLI, Azure PowerShell, šablony Azure Resource Manageru (šablony ARM), Terraform nebo Azure Portal. Tento rychlý start vás provede procesem nasazení v Azure PowerShellu.

Požadavky

  • Účet Azure s aktivním předplatným. Pokud ho nemáte, vytvořte si bezplatný účet před tím, než začnete.
  • Nainstalovaná nejnovější verze Azure PowerShellu .
  • Příslušná oprávnění k vytváření prostředků ve vašem předplatném, včetně prostředků HSM.
  • V produkčních prostředích je stávající virtuální síť a podsíť pro konfiguraci privátních koncových bodů.

Vytvoření instance HSM cloudu Azure

Následující ukázkový kód vytvoří skupinu prostředků a instanci cloudového HSM. Musíte aktualizovat předplatné, skupinu prostředků, umístění a název HSM tak, aby odpovídal vašemu prostředí.

Důležité

Název HSM musí být jedinečný. Pokud zadáte název HSM, který už ve zvolené oblasti existuje, nasazení selže.

# Define variables for your Cloud HSM deployment
$server = @{
    Location = "<location>"
    Sku = @{"family" = "B"; "Name" = "Standard_B1" }
    ResourceName = "<hsm-name>"
    ResourceType = "microsoft.hardwaresecuritymodules/cloudHsmClusters"
    ResourceGroupName = "<resource-group>"
    Force = $true
}

# Create an HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create an HSM cluster
New-AzResource @server -AsJob -Verbose

Poznámka:

Doporučujeme nasadit prostředky cloudového HSM do samostatné skupiny prostředků od souvisejících prostředků klientské virtuální sítě a prostředků virtuálního počítače. Použití samostatné skupiny prostředků zabezpečuje lepší správu a izolaci bezpečnosti.

Konfigurace spravované identity (volitelné)

V případě operací zálohování a obnovení v Azure Cloud HSM je potřeba vytvořit spravovanou identitu přiřazenou uživatelem. Toto ID se používá k přenosu záloh HSM v cloudu do cílového účtu úložiště v případech provozní kontinuity a zotavení po havárii (BCDR).

Pokud plánujete používat funkce zálohování a obnovení, můžete vytvořit a nakonfigurovat spravovanou identitu pomocí následujících příkazů Azure PowerShellu:

# Define parameters for the new managed identity
$identity = @{
    Location          = "<location>"                                         
    ResourceName      = "<managed-identity-name>"                                         
    ResourceGroupName = "<resource-group>"
}

# Create a new user-assigned managed identity
New-AzUserAssignedIdentity -Name $identity.ResourceName -ResourceGroupName $identity.ResourceGroupName -Location $identity.Location

# Get the subscription ID
$subscriptionId = (Get-AzContext).Subscription.Id

# Define the Cloud HSM managed identity's patch payload
$chsmMSIPatch = @{
    Sku = @{
        Family = "B"
        Name = "Standard_B1"
    }
    Location = $server.Location
    Identity = @{
        type = "UserAssigned"
        userAssignedIdentities = @{
            "/subscriptions/$subscriptionId/resourcegroups/$($identity.ResourceGroupName)/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$($identity.ResourceName)" = @{}
        }
    }
} | ConvertTo-Json -Depth 4

# Construct the URI for the Cloud HSM resource
$resourceURI = "/subscriptions/$subscriptionId/resourceGroups/$($server.ResourceGroupName)/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/$($server.ResourceName)?api-version=2025-03-31"

# Update the Cloud HSM resource with the managed identity
Invoke-AzRestMethod -Path $resourceURI -Method Put -Payload $chsmMSIPatch

Podrobné pokyny ke konfiguraci operací zálohování a obnovení najdete v tématu Zálohování a obnovení prostředků HSM v Azure Cloud.

Nastavit síťovou komunikaci

V produkčních prostředích důrazně doporučujeme nakonfigurovat privátní koncový bod pro nasazení cloudového HSM, abyste zajistili zabezpečenou komunikaci. K vytvoření privátního koncového bodu můžete použít následující příkazy Azure PowerShellu:

# Define private endpoint parameters
$privateEndpoint = @{
    Name = "<private-endpoint-name>"
    ResourceGroupName = $server.ResourceGroupName
    Location = $server.Location
    Subnet = $subnet # You need to have $subnet defined with your subnet configuration
    PrivateLinkServiceConnection = @{
        Name = "$($server.ResourceName)-connection"
        PrivateLinkServiceId = "/subscriptions/$subscriptionId/resourceGroups/$($server.ResourceGroupName)/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/$($server.ResourceName)"
        GroupId = "cloudhsmclusters"
    }
}

# Create the private endpoint
New-AzPrivateEndpoint @privateEndpoint

Návod

Privátní koncové body jsou klíčové pro zabezpečení. Umožňují zabezpečená připojení k vaší instanci HSM cloudu Azure prostřednictvím privátního propojení. Tato připojení zajišťují, že provoz mezi vaší virtuální sítí a službou prochází páteřní sítí Microsoftu. Tato konfigurace eliminuje riziko ohrožení veřejného internetu, jak je popsáno v zabezpečení sítě pro hsm cloudu Azure.

Nasazení prostředku cloudového HSM

Když spustíte New-AzResource příkaz s parametrem -AsJob , vytvoří úlohu na pozadí pro nasazení prostředku Cloud HSM. Stav nasazení můžete zkontrolovat spuštěním následujícího příkazu:

Get-Job -Id <job-id> | Receive-Job

V předchozím příkazu je ID, <job-id> které systém vrátil při spuštění New-AzResource příkazu.

Nasazení se dokončí, když se zobrazí úspěšný výsledek úlohy nebo když můžete ověřit, že prostředek existuje ve vašem předplatném Azure.

Inicializujte a nakonfigurujte svůj HSM

Prostřednictvím Azure PowerShellu nemůžete provést přímo aktivaci a konfiguraci cloudových HSM. Potřebujete sadu Azure Cloud HSM SDK a klientské nástroje.

Po nasazení prostředku Cloud HSM prostřednictvím Azure PowerShellu postupujte takto:

  1. Stáhněte a nainstalujte sadu Azure Cloud HSM SDK z GitHubu na virtuální počítač, který má síťové připojení k vašemu HSM.

  2. Inicializujte a nakonfigurujte vaše HSM podle podrobných kroků v průvodci pro onboardování do Azure Cloud HSM.

  3. Vytvořte správu uživatelů s odpovídajícími kryptografickými pracovníky a uživateli, jak je popsáno v tématu Správa uživatelů v Modulu hardwarového zabezpečení Azure Cloud.

  4. Implementujte správné postupy správy klíčů, které pomáhají zajistit optimální zabezpečení a výkon, jak je popsáno ve správě klíčů v Modulu hardwarového zabezpečení Azure Cloud.

Vyčistěte zdroje

Pokud jste vytvořili skupinu prostředků výhradně pro účely tohoto rychlého startu a nemusíte tyto prostředky uchovávat, můžete odstranit celou skupinu prostředků:

Remove-AzResourceGroup -Name $server.ResourceGroupName -Force

Řešení běžných problémů s nasazením

Pokud během nasazování narazíte na problémy:

  • Konflikty názvů prostředků: Ujistěte se, že je váš název HSM v daném regionu jedinečný. Pokud nasazení selže kvůli konfliktu názvů, zkuste použít jiný název.
  • Problémy s připojením k síti: Pokud používáte privátní koncové body, ověřte, že váš virtuální počítač má správný síťový přístup k HSM. Osvědčené postupy najdete v tématu Zabezpečení sítě pro Cloud HSM Azure.
  • Selhání ověřování: Při inicializaci HSM se ujistěte, že používáte správný formát přihlašovacích údajů, jak je podrobně popsáno v tématu Ověřování v Azure Cloud HSM.
  • Problémy se spravovanou identitou: Pokud operace zálohování selžou, ověřte, že spravovaná identita byla správně přiřazená a má potřebná oprávnění.

Související obsah

  • Poslední aktualizace v