Rychlý start: Vytvořit Azure Payment HSM v2

Azure Payment HSM v2 je vysoce dostupná služba hardwarového zabezpečení (HSM) s jedním tenantem pro zpracování plateb, vystavování přihlašovacích údajů, zpracování PIN kódu, správa klíčů a ochrana ověřovacích dat. Azure Payment HSM v2 pomáhá poskytovatelům služeb a finančním institucím modernizovat platební systémy a přijmout veřejný cloud. Další informace najdete v tématu Co je Azure Payment HSM v2?

Tento rychlý úvod popisuje, jak zprovoznit a nasadit cluster služby Azure Payment HSM v2 ve vaší privátní virtuální síti.

Předpoklady

Příprava prostředí

  • Použijte Azure Cloud Shell nebo nainstalujte Azure PowerShell. Pokud používáte Azure PowerShell místně, přihlaste se k Azure.
  • Nainstalujte OpenSSL a vytvořte certifikát.
  • Použijte identitu, která má oprávnění k vytváření skupin prostředků, virtuálních sítí, privátních koncových bodů, privátních zón DNS a prostředků Payment HSM v2. Identita také potřebuje oprávnění registrovat funkce předplatného Azure.
  • Ve verzi Preview nasaďte platební HSM v2 pouze v oblasti USA – západ nebo Západní Evropa.

Vytvoření účtů Azure a Utimaco

Před onboardingem Azure Payment HSM v2 ověřte, že má vaše organizace aktivní účet Azure a předplatné a zaregistrovaný účet portálu podpory Utimaco. Tyto účty potřebujete, abyste zřídili prostředky, získali přístup k softwaru a dokumentaci a získali podporu onboardingu.

Účet Azure

Před onboardingem Azure Payment HSM v2 musíte mít aktivní účet Azure a předplatné Azure. Pokud nemáte účet Azure, vytvořte si před zahájením bezplatný účet.

Účet Utimaco

Proces onboardingu služby Azure Payment HSM v2 vyžaduje před zřízením aktivní účet Utimaco a příslušné oprávnění. Jakmile Microsoft vaši žádost o onboarding schválí, Microsoft vás během veřejné verze Preview připojí k týmu Azure Utimaco. Tým s vámi přímo spolupracuje, aby dokončil proces onboardingu. Zpracování a aktivace nových žádostí o účet Utimaco může trvat až 48 hodin. Pokud nemáte účet Utimaco, pokyny najdete v tématu Vytvoření účtu na portálu Utimaco .

Převzít a ověřit uvítací balíček při nástupu

Utimaco poskytuje uvítací sadu potřebnou pro zprovoznění služby Azure Payment HSM v2. Součástí balíčku je aplikace SCA (Secure Configuration Assistant), zařízení KLD (Key Loading Device), čipové karty a související materiály pro onboarding. Než budete pokračovat v aktivitě onboardingu, ověřte příjem veškerého obsahu balíčku.

Akce zákazníka

  1. Potvrďte převzetí uvítacího balíčku pro nástup a všech přiložených materiálů.
  2. Ověřte doručení aplikace SCA, C3 KLD, čipových karet a podpůrné dokumentace.
  3. Před pokračováním dalšího kroku registrace odešlete potvrzení o přijetí balíčku do Microsoft i Utimaco.

Získání důvěry klienta

Pokud chcete vytvořit vzájemnou důvěru mezi vaším prostředím a Azure Payment HSM v2, nakonfigurujte certifikát důvěryhodné certifikační autority (CA) pro rozhraní pro správu a aplikační rozhraní. Tyto certifikáty slouží k ověřování klientů a k vytvoření zabezpečeného a vzájemně ověřeného připojení k Azure Payment HSM v2. Vytvořte certifikáty kořenové certifikační autority podepsané svým držitelem a ověřte, že každý certifikát používá veřejný klíč eliptické křivky (EC) v křivkě NIST (National Institute of Standards and Technology) P-256. K vygenerování certifikátů použijte následující příklad.

Model důvěryhodnosti za těmito certifikáty, včetně samostatných ukotvení pro správu a důvěryhodnosti aplikací a důvodů, proč služba podporuje pouze kořenové certifikační autority podepsané svým držitelem ( P-256), najdete v tématu Ověřování a řízení přístupu pro Azure Payment HSM v2.

Vytvoření ověřovacích certifikátů certifikační autority

Pomocí následujících příkazů OpenSSL vygenerujte páry klíčů se třemi tečkami a vytvořte certifikáty certifikační autority podepsané svým držitelem.

Důležité

Pro každý certifikát důvěryhodného vydavatele použijte samopodepsanou kořenovou certifikační autoritu. Certifikát musí používat veřejný klíč EC na křivkě NIST P-256 (prime256v1). Azure Payment HSM v2 nepodporuje certifikáty mezilehlé certifikační autority ani certifikáty, které používají jiné kryptografické algoritmy nebo typy klíčů.

  • Důvěryhodné certifikační autority pro port správy patří do certs-mgmt/.
  • Certifikační autority pro důvěryhodnost portů aplikací patří do certs/.

Vygenerujte klíče CA a samopodepsané certifikáty

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Zaregistrujte funkci „AllowPrivateEndpoints“

Azure Payment HSM v2 vyžaduje privátní koncový bod. Ve verzi Public Preview Azure tuto funkci automaticky nezaregistruje. Zaregistrujte funkci AllowPrivateEndpoints u poskytovatele prostředků Microsoft.Network v každém předplatném, ve kterém službu nasadíte. Pokud tuto funkci nezaregistrujete, kroky konfigurace sítě uvedené později v tomto rychlém průvodci selžou.

Důležité

Tým Azure Payment HSM v2 zaregistruje váš prostředek Payment HSM v2. Zaregistrujte si AllowPrivateEndpoints funkci sami v každém předplatném, ve kterém službu nasadíte. Dokončení registrace může trvat několik minut. Než budete pokračovat v vytváření klientské virtuální sítě a zóny privátního DNS, počkejte, až funkce zobrazí zaregistrovaný stav.

Nastavte kontext předplatného, zaregistrujte funkci a pak ověřte registraci.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Nasazení Azure Payment HSM v2

Vytvoření instance platebního HSM v2

Následující příklad vytvoří skupinu prostředků a instanci Payment HSM v2. Spusťte příklad z adresáře, který obsahuje management-trusted-ca.pem a application-trusted-ca.pem. Nastavte kontext předplatného a aktualizujte umístění, název prostředku a název skupiny prostředků tak, aby odpovídal vašemu prostředí.

Důležité

Zvolte jedinečný název HSM. Pokud zadáte název HSM, který už ve vybrané oblasti existuje, nasazení selže.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Nasaďte prostředky Payment HSM v2 do jiné skupiny prostředků, než ve které jsou související prostředky klientské virtuální sítě a virtuálních počítačů (VM). Samostatné skupiny prostředků poskytují lepší správu a bezpečnostní izolaci.

Vytvoření klientské virtuální sítě a privátní zóny DNS

Nasaďte virtuální síť klienta a virtuální počítač ve stejné oblasti jako prostředek HSM. Aktualizujte skupinu prostředků a názvy virtuálních sítí tak, aby odpovídaly vašemu prostředí. Následující příklad vytvoří skupinu prostředků, virtuální síť s samostatnými podsítěmi pro správu a aplikace a privátní zónu DNS. Příklad potom propojí zónu s virtuální sítí.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Vytvoření privátního koncového bodu pro Azure Payment HSM v2

Azure Payment HSM v2 zpřístupňuje dvě ID skupin privátních odkazů: management na portu 7005 a application na portu 2200. Vytvořte samostatný privátní koncový bod pro každé ID skupiny s využitím odpovídající podsítě z Vytvoření klientské virtuální sítě a zóny privátního DNS. Vytvořte oba koncové body pro úplný přístup k aplikacím pro správu a platební aplikaci. Pokud potřebujete pouze přístup pro správu, například pro zařízení KLD (Key Loading Device) Utimaco, vytvořte pouze koncový bod správy.

Nejprve vytvořte oba privátní endpointy:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Poté oba koncové body připojte k privátní DNS zóně, aby bylo možné jejich názvy hostitelů přeložit v rámci vaší virtuální sítě:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Návod

Privátní koncové body připojují vaši virtuální síť k Azure payment HSM v2 prostřednictvím Azure Private Link. Provoz mezi vaší virtuální sítí a službou zůstane v síti Microsoft. Toto privátní připojení snižuje riziko ohrožení veřejného internetu, jak je popsáno v části Zabezpečení sítě pro Azure Payment HSM v2.

Připojení k Azure Payment HSM v2

Po zřízení instance platebního HSM v2 a vytvoření privátních koncových bodů nastavte připojení ke správě i aplikačním rozhraním clusteru Azure Payment HSM v2. Azure Private Link poskytuje připojení z virtuální sítě. Pokud se chcete připojit z místní sítě, včetně zařízení KLD (Key Loading Device) Utimaco, použijte virtuální privátní síť typu site-to-site (VPN) nebo jiné schválené hybridní připojení. Jednotlivé pracovní stanice můžou používat síť VPN typu point-to-site nebo přesměrování portů SSH (Secure Shell) přes virtuální počítač Azure.

Dokument Provozní pokyny APM v LS2 na portálu Utimaco poskytuje podrobné postupy instalace, konfigurace, ověřování a řešení potíží. Přístup k dokumentu vyžaduje aktivní účet portálu Utimaco a registraci.

Důležité

Pokud se chcete připojit k rozhraní pro správu mimo Azure virtuální síť, připojte se přes schválený tunel VPN nebo SSH. Umožňuje síťové připojení k portu pro správu (7005) a portu aplikace (2200) z autorizovaných pracovních stanic pro správu a platebních aplikací.

Akce zákazníka

  1. Nasaďte nebo použijte existující virtuální počítač Azure v rámci Azure virtuální sítě pro přístup k prostředí Azure Payment HSM v2.
  2. Připojte se k rozhraní pro správu HSM pomocí nástroje SCA (Utimaco Secure Configuration Assistant), C3 Key Loading Device (KLD) a čipových karet správce nebo zálohování.
  3. Vytvořte přístup k portu pro správu HSM prostřednictvím schválené metody připojení, jako je přesměrování portů SSH nebo VPN.
  4. Ověřte úspěšné připojení k rozhraní pro správu HSM a dokončete počáteční úlohy správy HSM.
  5. Připojte se k aplikačnímu rozhraní HSM a ověřte připojení aplikace pomocí existujících platebních aplikací a testovacích transakcí.

Informace o portu pro správu a portu aplikace

Port pro správu: 7005 – Operace správy a řízení.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, kde <node-number> je 1, 2nebo 3

Port aplikace: 2200 – Datová vrstva platební aplikace pro příkazy Atalla a kryptografické operace.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, kde <node-number> je 1, 2nebo 3

Nasazení virtuálního počítače Azure v rámci virtuální sítě Azure

Použijte Rychlý start: Vytvořte virtuální počítač s Linuxem v portálu Azure k nasazení virtuálního počítače Azure se systémem Ubuntu Server 22.04 LTS. Během konfigurace sítě vyberte klientskou virtuální síť a podsíť pro správu, kterou jste vytvořili dříve.

Nakonfigurujte VPN nebo přesměrování portů SSH pro připojení k vašemu platebnímu HSM v2

Připojte se ke svému rozhraní pro správu Azure Payment HSM v2 pomocí jedné z následujících schválených metod.

Síť VPN typu Site-to-Site připojená k virtuální síti Azure hostující koncový bod správy:

Síť VPN typu point-to-site připojená k virtuální síti Azure hostující koncový bod správy:

Přesměrování místního portu SSH přes virtuální počítač Azure (jump box) nasazený ve vaší Azure virtuální síti:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Příklady:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Související obsah

  • Poslední aktualizace v