Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure Payment HSM v2 verwendet private Endpunkte, um den Verwaltungs- und Zahlungsanwendungsdatenverkehr auf privaten IP-Adressen beizubehalten. In diesem Artikel werden die Konfiguration privater Endpunkte, das Dns-Setup (Domain Name System), die erforderlichen Ports, die Regeln für die Netzwerksicherheitsgruppe (NSG) und die Platzierung virtueller Computer (VM) beschrieben.
Zugriff aus öffentlichen Netzwerken
Azure Payment HSM v2 ist nur über private Konnektivität erreichbar. Stellen Sie den Cluster mit deaktivierten öffentlichen Netzwerkzugriff bereit, sodass der gesamte Datenverkehr das HSM über private Endpunkte und nicht über das öffentliche Internet erreicht.
Private Endpunkte hängen vom AllowPrivateEndpoints Feature ab. Während der Vorschau registriert Azure diese Funktion nicht automatisch. Registrieren Sie das AllowPrivateEndpoints Feature für den Microsoft.Network Ressourcenanbieter für jedes Abonnement, in dem Sie den Dienst bereitstellen, bevor Sie die Netzwerkressourcen erstellen. Wenn Sie das Feature nicht registrieren, schlagen die Schritte für den privaten Endpunkt fehl.
- Stellen Sie den Cluster bereit, wobei
publicNetworkAccessaufDisabledfestgelegt ist. Weitere Informationen finden Sie unter Create a Payment HSM v2 instance. - Registrieren Sie das
AllowPrivateEndpointsFeature für jedes Abonnement. Weitere Informationen finden Sie unter Registrieren Sie das Feature AllowPrivateEndpoints.
Privater Endpunkt
Azure Payment HSM v2 stellt zwei Azure Private Link-Zielsubressourcen bereit: management auf Port 7005 und application auf Port 2200. Erstellen Sie einen separaten privaten Endpunkt für jede Schnittstelle im entsprechenden Clientsubnetz. Private Endpunkte stellen private IP-Adressen für Verbindungen aus Ihrem virtuellen Netzwerk und unterstützte Hybridnetzwerke bereit.
Der Datenverkehr zwischen Ihrem virtuellen Netzwerk und Azure Payment HSM v2 durchläuft nicht das öffentliche Internet. Diese private Konnektivität reduziert die Exponierung gegenüber dem Internet.
Anweisungen zur Bereitstellung finden Sie unter Erstellen eines privaten Endpunkts für Azure Payment HSM v2.
Privates DNS
Wenn Sie die privaten Endpunkte für die Verwaltung und Anwendung erstellen, weist Azure Payment HSM v2 jedem HSM-Knoten einen privaten DNS-Hostnamen für jede Schnittstelle im folgenden Format zu:
Verwaltungsport: 7005 - Administrative und Verwaltungsaufgaben.
mgmt1.<pool-name>-<unique-string>.privatelink.phsm.azure.net
Anwendungsport: 2200 – Datenebene der Zahlungsanwendung für Atalla-Befehle und kryptografische Vorgänge.
app1.<pool-name>-<unique-string>.privatelink.phsm.azure.net
Um diese Hostnamen aus Ihrem virtuellen Netzwerk aufzulösen, konfigurieren Sie eine private DNS-Zone für privatelink.phsm.azure.net und verknüpfen sie mit den virtuellen Netzwerken, die Ihren Administrator und Ihre Anwendungs-VMs enthalten. Ordnen Sie jeden privaten Endpunkt der privaten DNS-Zone mithilfe einer privaten DNS-Zonengruppe zu.
Erforderliche Ports
Azure Payment HSM v2 verwendet die folgenden Ports. Ausgehenden TCP-Datenverkehr aus jedem Clientsubnetz zur entsprechenden privaten Endpunkt-IP-Adresse zulassen.
| Hafen | Richtung | Client | Purpose |
|---|---|---|---|
| 7005 | Ausgehend (Client → Verwaltungsendpunkt) | Utimaco Secure Configuration Assistant (SCA) und C3 Key Loading Device (KLD) | Management-Port für Administrations- und Verwaltungsvorgänge. |
| 2200 | Ausgehend (Client-→ Anwendungsendpunkt) | Zahlungsanwendung | ASCII-Port für Atalla-Befehle und kryptografische Vorgänge. |
NSG-Regeln
Wenn Sie Administrator- und Anwendungs-VMs in Subnetzen mit NSGs bereitstellen, fügen Sie jedem NSG für den entsprechenden privaten Endpunkt und Port eine ausgehende Regel hinzu. Beispiel:
| Priority | Name | Source | Destination | Hafen | Protocol | Action |
|---|---|---|---|---|---|---|
| 100 | Allow-PHSM-Management |
VirtualNetwork |
<management-private-endpoint-IP> |
7005 | TCP | Allow |
| 110 | Allow-PHSM-Application |
VirtualNetwork |
<application-private-endpoint-IP> |
2200 | TCP | Allow |
Ersetzen Sie jeden Zielplatzhalter durch die private IP-Adresse, die dem entsprechenden privaten Endpunkt für Payment HSM v2 zugewiesen wurde. Wenden Sie jede Regel nur auf die NSG an, die dem Clientsubnetz zugeordnet ist, das Zugriff auf diese Schnittstelle benötigt.
VM-Platzierung
Erstellen Sie eine Azure VM in einem virtuellen Netzwerk, das eine Verbindung mit dem privaten Verwaltungsendpunkt herstellen kann. Verwenden Sie den virtuellen Computer, um Utimaco SCA für das anfängliche HSM-Setup, die Benutzerverwaltung, die Schlüsselverwaltung und Sicherungsvorgänge auszuführen.
Ein Bereitstellungsbeispiel finden Sie unter Schnellstart: Erstellen einer Linux-VM im Azure-Portal.
Für die Administrator-VM ist eine Netzwerkkonnektivität mit dem privaten Verwaltungsendpunkt erforderlich.
Tipp
Platzieren Sie Payment HSM v2-Ressourcen in einer separaten Ressourcengruppe, getrennt von den Client-VMs und dem virtuellen Netzwerk. Diese Trennung vereinfacht die Lebenszyklusverwaltung und die Zugriffssteuerung.
Lokale Konnektivität
Verwenden Sie Azure VPN Gateway, um eine VPN-Verbindung (Virtual Private Network) zwischen Ihrem lokalen Netzwerk und dem virtuellen Netzwerk herzustellen, das die privaten Endpunkte enthält:
- Standort-zu-Standort-VPN. Verwenden Sie diese Option für die dauerhafte lokale Konnektivität. Anweisungen zum Einrichten finden Sie im Lernprogramm: Erstellen einer Standort-zu-Standort-VPN-Verbindung im Azure-Portal.
- Point-to-Site-VPN. Verwenden Sie diese Option für einzelne Arbeitsstationen oder kleinere Bereitstellungen. Weitere Informationen finden Sie unter "Informationen zu Azure Point-to-Site-VPN-Verbindungen".
Konfigurieren Sie die DNS-Weiterleitung oder den Azure DNS Private Resolver so, dass Clients in der lokalen Umgebung die HSM-Hostnamen zu den IP-Adressen des privaten Endpunkts auflösen. Unterstützte Muster finden Sie in Azure Dns-Integrationsszenarien für private Endpunkte.