Schnellstart: Erstellen eines dedizierten Azure HSM mit Azure PowerShell

Von Bedeutung

Azure Dedicated HSM wird eingestellt. Microsoft wird bestehende dedizierte HSM-Kunden bis zum 31. Juli 2028 vollständig unterstützen. Es werden keine neuen Kunden-Onboardings akzeptiert. Vollständige Details und erforderliche Aktionen finden Sie im offiziellen Azure-Update.

Wenn Sie Azure Dedicated HSM verwenden, lesen Sie Migrieren von Azure Dedicated HSM zu Managed HSM oder Azure Cloud HSM. Azure Cloud HSM ist jetzt allgemein verfügbar und der Nachfolger von Azure Dedicated HSM.

Neue Kunden sollten Azure Cloud HSM, Managed HSM oder Azure Key Vault basierend auf ihren Workloadanforderungen bewerten und integrieren. Anleitungen finden Sie unter Auswählen der richtigen Azure Key Management-Lösung.

In diesem Artikel wird beschrieben, wie Sie ein azure Dedicated HSM mithilfe des Az.DedicatedHsm PowerShell-Moduls erstellen können.

Anforderungen

Wenn Sie kein Azure-Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.

Bei lokaler Verwendung von Azure PowerShell:
- Installieren Sie die neueste Version des Az PowerShell-Moduls.
- Stellen Sie mithilfe des Cmdlets Connect-AzAccount eine Verbindung mit Ihrem Azure-Konto her.
Bei Verwendung von Azure Cloud Shell:
- Weitere Informationen finden Sie in der Übersicht über Azure Cloud Shell.

Von Bedeutung

Während sich das Az.DedicatedHsm PowerShell-Modul in der Vorschau befindet, müssen Sie es separat mit dem Cmdlet Install-Module installieren. Sobald dieses PowerShell-Modul allgemein verfügbar ist, wird es in die zukünftigen Releases des Az PowerShell-Moduls integriert und in Azure Cloud Shell standardmäßig zur Verfügung gestellt.

Install-Module -Name Az.DedicatedHsm

Wenn Sie über mehrere Azure-Abonnements verfügen, müssen Sie das entsprechende Abonnement auswählen, in dem die Ressourcen fakturiert werden sollen. Wählen Sie mit dem Cmdlet Set-AzContext ein bestimmtes Abonnement aus.
```
Set-AzContext -SubscriptionId aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e
```
Die erforderlichen Ressourcenanbieter und Featureflags, die für Ihr Abonnement registriert sind. Registrieren Sie die AzureDedicatedHsm und DedicatedHsmEnabled Features, und registrieren Sie dann den Microsoft.HardwareSecurityModules Provider. Wenn das DedicatedHsmEnabled Feature nicht registriert ist, geben dedizierte HSM-Cmdlets einen InvalidResourceType Fehler zurück.
```
Register-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm
Register-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName DedicatedHsmEnabled
Register-AzResourceProvider -ProviderNamespace Microsoft.HardwareSecurityModules
```
Die Featureregistrierung kann einige Minuten dauern. Vergewissern Sie sich, dass beide Features ein Registered von RegistrationState anzeigen, bevor Sie fortfahren:
```
Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm
Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName DedicatedHsmEnabled
```

Erstellen einer Ressourcengruppe

Erstellen Sie eine Azure-Ressourcengruppe mit dem Cmdlet New-AzResourceGroup . Eine Ressourcengruppe ist ein logischer Container, in dem Azure-Ressourcen als Gruppe bereitgestellt und verwaltet werden.

Im folgenden Beispiel wird eine Ressourcengruppe mit dem angegebenen Namen und an der angegebenen Position erstellt.

New-AzResourceGroup -Name myRG -Location westus

Netzwerkressourcen erstellen

Ein dediziertes HSM wird in ein Subnetz in Ihrem virtuellen Netzwerk eingefügt, und das virtuelle Netzwerk muss über ein ExpressRoute-Gateway verfügen. Ohne Gateway schlägt der Erstellungsvorgang mit einem Fehler beim Verbinden des Geräts mit dem virtuellen Netzwerk fehl.

Erstellen Sie ein virtuelles Netzwerk mit drei Subnetzen: eines für Computeressourcen, eines, das für das HSM an Microsoft.HardwareSecurityModules/dedicatedHSMs delegiert ist, und eines für das GatewaySubnet, das das ExpressRoute-Gateway benötigt. Der HSM-Subnetzname muss sich vom Namen des virtuellen Netzwerks unterscheiden.

$del = New-AzDelegation -Name dhsmDelegation `
  -ServiceName 'Microsoft.HardwareSecurityModules/dedicatedHSMs'

$compute = New-AzVirtualNetworkSubnetConfig -Name compute `
  -AddressPrefix 10.2.0.0/24
$hsmNet = New-AzVirtualNetworkSubnetConfig -Name hsmsubnet `
  -AddressPrefix 10.2.1.0/24 -Delegation $del
$gwNet = New-AzVirtualNetworkSubnetConfig -Name GatewaySubnet `
  -AddressPrefix 10.2.255.0/26

$vnetParams = @{
  Name              = 'myhsm-vnet'
  ResourceGroupName = 'myRG'
  Location          = 'westus'
  AddressPrefix     = '10.2.0.0/16'
  Subnet            = $compute, $hsmNet, $gwNet
}
New-AzVirtualNetwork @vnetParams

Erstellen Sie das ExpressRoute-Gateway mit der ErGwScale SKU. Azure weist die öffentliche IP-Adresse des Gateways automatisch zu und verwaltet sie, sodass Sie keine öffentliche IP-Ressource erstellen.

$gwSubnet = Get-AzVirtualNetwork -Name myhsm-vnet -ResourceGroupName myRG |
  Get-AzVirtualNetworkSubnetConfig -Name GatewaySubnet
$ipc = New-AzVirtualNetworkGatewayIpConfig -Name default `
  -SubnetId $gwSubnet.Id

$gwParams = @{
  Name              = 'myergw'
  ResourceGroupName = 'myRG'
  Location          = 'westus'
  IpConfigurations  = $ipc
  GatewayType       = 'ExpressRoute'
  GatewaySku        = 'ErGwScale'
  MinScaleUnit      = 1
  MaxScaleUnit      = 1
}
New-AzVirtualNetworkGateway @gwParams -Force

Das Gateway dauert ca. 18 Minuten für die Bereitstellung.

Ein dediziertes HSM erstellen

Zum Erstellen eines dedizierten HSM verwenden Sie das Cmdlet New-AzDedicatedHsm . Im folgenden Beispiel wird ein dediziertes HSM im HSM-Subnetz mit einer privaten IP-Adresse innerhalb des Adressbereichs dieses Subnetzes erstellt.

$Params = @{
  Name  = 'myHSM'
  ResourceGroupName = 'myRG'
  Location = 'westus'
  Sku = 'SafeNet Luna Network HSM A790'
  StampId = 'stamp1'
  SubnetId = '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myhsm-vnet/subnets/hsmsubnet'
  NetworkInterface = @{PrivateIPAddress = '10.2.1.4'}
}
New-AzDedicatedHsm @Params

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Der HSM-Erstellungsvorgang dauert ca. 8 Minuten.

Abrufen eines dedizierten HSM

Um Informationen zu einem vorhandenen dedizierten HSM abzurufen, verwenden Sie das Cmdlet Get-AzDedicatedHsm . Im folgenden Beispiel wird das angegebene dedizierte HSM abgerufen:

Get-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Note

Das Azure-Portal listet keine dedizierten HSMs in der Ressourcengruppe auf. Verwenden Sie Get-AzDedicatedHsm, um zu bestätigen, dass ein HSM vorhanden ist.

Aktualisieren eines dedizierten HSM

Um ein dediziertes HSM zu aktualisieren, verwenden Sie das Cmdlet Update-AzDedicatedHsm . Im folgenden Beispiel werden die Tags für das dedizierte HSM aktualisiert.

Update-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG -Tag @{'key1' = '1'; 'key2' = 2; 'key3' = 3}

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Bereinigen von Ressourcen

Vorsicht

Setzen Sie das dedizierte HSM auf Null und löschen Sie es, bevor Sie seine Ressourcengruppe löschen. Durch das direkte Löschen der Ressourcengruppe wird das HSM nicht gelöscht. Es platziert das HSM in einen verwaisten Zustand, der weiterhin Gebühren verursacht. Weitere Informationen finden Sie unter "Löschen einer HSM-Ressource".

Entfernen eines dedizierten HSM

Nachdem Sie das HSM auf null gesetzt haben, verwenden Sie das Cmdlet Remove-AzDedicatedHsm, um es zu entfernen. Im folgenden Beispiel wird das angegebene dedizierte HSM gelöscht.

Remove-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG

Tip

Wenn ein Erstellungsvorgang fehlschlägt, kann der Löschvorgang mehrere Stunden lang im Status Deleting verbleiben. Führen Sie in diesem Fall das Remove-AzDedicatedHsm Cmdlet erneut aus, um den Löschvorgang sofort abzuschließen.

Löschen der Ressourcengruppe

Vorsicht

Im folgenden Beispiel werden die angegebene Ressourcengruppe und alle darin enthaltenen Ressourcen gelöscht. Wenn Ressourcen außerhalb des Gültigkeitsbereichs dieses Artikels in der angegebenen Ressourcengruppe vorhanden sind, werden sie ebenfalls gelöscht.

Remove-AzResourceGroup -Name myRG

Nächste Schritte

Erfahren Sie mehr über Azure Dedicated HSM.

Feedback

War diese Seite hilfreich?

Zuletzt aktualisiert um 2026-10-02