Schnellstart: Erstellen Sie ein Azure Payment HSM v2

Azure Payment HSM v2 ist ein hochverwendiger, single-tenant Payment Hardware Security Module (HSM)-Dienst für die Zahlungsverarbeitung, die Ausstellung von Anmeldeinformationen, die PIN-Verarbeitung, die Schlüsselverwaltung und den Authentifizierungsdatenschutz. Azure Payment HSM v2 hilft Dienstleistern und Finanzinstituten, ihre Zahlungssysteme zu modernisieren und die öffentliche Cloud zu übernehmen. Weitere Informationen finden Sie unter Was ist Azure Payment HSM v2?

In dieser Schnellstartanleitung wird beschrieben, wie Sie einen Azure Payment HSM v2-Cluster in Ihrem privaten virtuellen Netzwerk integrieren und bereitstellen.

Voraussetzungen

Vorbereiten der Umgebung

  • Verwenden Sie Azure Cloud Shell oder installieren Sie Azure PowerShell. Wenn Sie Azure PowerShell lokal verwenden, melden Sie sich bei Azure an.
  • Installieren Sie OpenSSL, um das Zertifikat zu erstellen.
  • Verwenden Sie eine Identität, die über die Berechtigung zum Erstellen von Ressourcengruppen, virtuellen Netzwerken, privaten Endpunkten, dns-Zonen (Private Domain Name System) und Zahlungs HSM v2-Ressourcen verfügt. Die Identität benötigt auch die Berechtigung, Features des Azure-Abonnements zu registrieren.
  • Stellen Sie während der Vorschau nur die Zahlungs-HSM v2 in der Region West-USA oder Westeuropa bereit.

Einrichten von Azure- und Utimaco-Konten

Vergewissern Sie sich vor dem Onboarding Azure Payment HSM v2, dass Ihre Organisation über ein aktives Azure Konto und Abonnement sowie über ein registriertes Utimaco-Supportportalkonto verfügt. Sie benötigen diese Konten, um Ressourcen bereitzustellen, auf Software und Dokumentation zuzugreifen und Onboarding-Support zu erhalten.

Azure-Konto

Sie müssen über ein aktives Azure-Konto und Azure Abonnement verfügen, bevor Sie Azure Payment HSM v2 integrieren. Wenn Sie kein Azure Konto haben, erstellen Sie ein kostenloses Konto, bevor Sie beginnen.

Utimaco-Konto

Azure Payment HSM v2 Onboarding erfordert ein aktives Utimaco-Konto und eine aktive Berechtigung vor der Bereitstellung. Nachdem Microsoft Ihre Onboarding-Anforderung genehmigt hat, stellt Microsoft während der öffentlichen Vorschau eine Verbindung mit dem Utimaco Azure Team her. Das Team arbeitet direkt mit Ihnen zusammen, um das Onboarding abzuschließen. Neue Utimaco-Kontoanforderungen können bis zu 48 Stunden dauern, um sie zu verarbeiten und zu aktivieren. Wenn Sie kein Utimaco-Konto haben, lesen Sie Ein Konto im Utimaco-Portal erstellen, um Anweisungen zu erhalten.

Empfangen und Überprüfen des Onboarding-Willkommenspakets

Utimaco bietet das Willkommenspaket, das für Azure Payment HSM v2 Onboarding erforderlich ist. Das Paket enthält die Anwendung Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD), Smartcards und zugehörige Onboarding-Materialien. Überprüfen Sie den Empfang aller Paketinhalte, bevor Sie mit onboarding-Aktivitäten fortfahren.

Kundenaktionen

  1. Bestätigen Sie den Empfang des Onboarding-Willkommenspakets und alle enthaltenen Materialien.
  2. Überprüfen Sie die Lieferung der SCA-Anwendung, C3 KLD, Smartcards und unterstützende Dokumentation.
  3. Senden Sie die Bestätigung des Paketbelegs sowohl an Microsoft als auch an Utimaco, bevor Sie mit dem nächsten Onboardingschritt fortfahren.

Kundenvertrauen aufbauen

Um das gegenseitige Vertrauen zwischen Ihrer Umgebung und Azure Payment HSM v2 herzustellen, konfigurieren Sie ein Zertifikat einer vertrauenswürdigen Zertifizierungsstelle (CA) für die Verwaltungsschnittstelle und die Anwendungsschnittstelle. Verwenden Sie diese Zertifikate für die Clientauthentifizierung und um sichere, sich gegenseitig authentifizierte Konnektivität mit Azure Payment HSM v2 herzustellen. Erstellen Sie selbstsignierte Stamm-CA-Zertifikate, und stellen Sie sicher, dass jedes Zertifikat einen öffentlichen EC-Schlüssel verwendet, der auf der P-256-Kurve des National Institute of Standards and Technology (NIST) basiert. Verwenden Sie das folgende Beispiel, um Zertifikate zu generieren.

Informationen zum Vertrauensmodell hinter diesen Zertifikaten, einschließlich der separaten Verwaltungs- und Anwendungsvertrauensanker und der Gründe, warum der Dienst nur selbstsignierte P-256-Stammzertifizierungsstellen unterstützt, finden Sie unter Authentifizierung und Zugriffssteuerung für Azure Payment HSM v2.

CA-Authentifizierungszertifikate erstellen

Generieren Sie elliptische Kurvenschlüsselpaare, und erstellen Sie selbstsignierte Zertifizierungsstellenzertifikate mithilfe der folgenden OpenSSL-Befehle.

Von Bedeutung

Verwenden Sie für jedes vertrauenswürdige Ausstellerzertifikat eine selbstsignierte Stamm-CA. Das Zertifikat muss einen öffentlichen EC-Schlüssel auf der NIST P-256 -Kurve (prime256v1) verwenden. Azure Payment HSM v2 unterstützt keine Zwischenzertifikate oder Zertifikate, die andere kryptografische Algorithmen oder Schlüsseltypen verwenden.

  • Vertrauenswürdige CAs für den Verwaltungsport gehören in certs-mgmt/.
  • Anwendungsport-Vertrauensstellungs-CAs gehören in certs/.

CA-Schlüssel und selbstsignierte Zertifikate generieren

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Registrieren Sie das Feature „AllowPrivateEndpoints“

Azure Payment HSM v2 erfordert einen privaten Endpunkt. Während der öffentlichen Vorschau registriert Azure diese Funktion nicht automatisch. Registrieren Sie das AllowPrivateEndpoints Feature für den Microsoft.Network Ressourcenanbieter für jedes Abonnement, in dem Sie den Dienst bereitstellen. Wenn Sie dieses Feature nicht registrieren, schlagen die Netzwerkschritte weiter unten in dieser Schnellstartanleitung fehl.

Von Bedeutung

Das Azure Payment HSM v2-Team registriert Ihre Payment HSM v2-Ressource. Registrieren Sie das AllowPrivateEndpoints Feature selbst für jedes Abonnement, in dem Sie den Dienst bereitstellen. Die Registrierung kann einige Minuten dauern. Warten Sie, bis das Feature einen registrierten Zustand anzeigt, bevor Sie weiterhin ein virtuelles Clientnetzwerk und eine private DNS-Zone erstellen.

Legen Sie Ihren Abonnementkontext fest, registrieren Sie das Feature, und überprüfen Sie dann die Registrierung.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Bereitstellen von Azure Payment HSM v2

Erstellen einer Zahlungs-HSM v2-Instanz

Im folgenden Beispiel wird eine Ressourcengruppe und eine Payment HSM v2-Instanz erstellt. Führen Sie das Beispiel aus dem Verzeichnis aus, das enthält management-trusted-ca.pem und .application-trusted-ca.pem Legen Sie den Abonnementkontext fest, und aktualisieren Sie den Speicherort, den Ressourcennamen und den Ressourcengruppennamen entsprechend Ihrer Umgebung.

Von Bedeutung

Wählen Sie einen eindeutigen HSM-Namen aus. Wenn Sie einen HSM-Namen angeben, der bereits in der ausgewählten Region vorhanden ist, schlägt die Bereitstellung fehl.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Stellen Sie Ihre Payment HSM v2-Ressourcen in einer separaten Ressourcengruppe bereit, getrennt von den zugehörigen Ressourcen für das virtuelle Clientnetzwerk und die virtuellen Computer (VMs). Separate Ressourcengruppen bieten eine bessere Verwaltung und Sicherheitsisolation.

Erstellen eines virtuellen Clientnetzwerks und einer privaten DNS-Zone

Stellen Sie Ihr virtuelles Clientnetzwerk und ihre VM in derselben Region wie Ihre HSM-Ressource bereit. Aktualisieren Sie die Ressourcengruppen- und virtuellen Netzwerknamen entsprechend Ihrer Umgebung. Im folgenden Beispiel wird eine Ressourcengruppe, ein virtuelles Netzwerk mit separaten Verwaltungs- und Anwendungssubnetzen und eine private DNS-Zone erstellt. Das Beispiel verknüpft dann die Zone mit dem virtuellen Netzwerk.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Erstellen eines privaten Endpunkts für Azure Payment HSM v2

Azure Payment HSM v2 stellt zwei Private-Link-Gruppen-IDs bereit: management auf Port 7005 und application auf Port 2200. Erstellen Sie einen separaten privaten Endpunkt für jede Gruppen-ID mithilfe des entsprechenden Subnetzes aus "Erstellen eines virtuellen Clientnetzwerks und einer privaten DNS-Zone". Erstellen Sie beide Endpunkte für den vollständigen Administrator- und Zahlungsanwendungszugriff. Wenn Sie nur administrativen Zugriff benötigen, z. B. für das Utimaco Key Loading Device (KLD), erstellen Sie nur den Verwaltungsendpunkt.

Erstellen Sie zunächst beide privaten Endpunkte:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Verbinden Sie dann beide Endpunkte mit der privaten DNS-Zone, damit ihre Hostnamen aus Ihrem virtuellen Netzwerk aufgelöst werden:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Tipp

Private Endpunkte verbinden Ihr virtuelles Netzwerk über Azure Private Link mit Azure Payment HSM v2. Der Datenverkehr zwischen Ihrem virtuellen Netzwerk und dem Dienst verbleibt im Microsoft Netzwerk. Diese private Konnektivität verringert die Exponierung gegenüber dem öffentlichen Internet, wie unter Netzwerksicherheit für Azure Payment HSM v2 beschrieben.

Herstellen einer Verbindung mit Azure Payment HSM v2

Nachdem Sie Ihre Payment HSM v2-Instanz bereitgestellt und die privaten Endpunkte eingerichtet haben, richten Sie die Konnektivität mit den Verwaltungs- und Anwendungsschnittstellen des Azure Payment HSM v2-Clusters ein. Azure Private Link stellt Verbindungen aus dem virtuellen Netzwerk bereit. Um eine Verbindung aus einem On-Premises-Netzwerk herzustellen, auch mit dem Utimaco Key Loading Device (KLD), verwenden Sie ein Site-to-Site-VPN oder eine andere genehmigte Hybridverbindung. Einzelne Arbeitsstationen können eine Point-to-Site-VPN- oder Secure Shell (SSH)-Portweiterleitung über eine Azure VM verwenden.

Das APM on LS2 Operational Instructions Dokument im Utimaco-Portal enthält detaillierte Verfahren für Installation, Konfiguration, Validierung und Fehlerbehebung. Für den Zugriff auf das Dokument ist ein aktives Utimaco-Portalkonto und eine aktive Registrierung erforderlich.

Von Bedeutung

Um die Verwaltungsschnittstelle von außerhalb des Azure virtuellen Netzwerks zu erreichen, stellen Sie eine Verbindung über einen genehmigten VPN- oder SSH-Tunnel her. Stellen Sie netzwerkkonnektivität mit dem Verwaltungsport (7005) und dem Anwendungsport (2200) von autorisierten Verwaltungsarbeitsstationen und Zahlungsanwendungen bereit.

Kundenaktionen

  1. Stellen Sie eine vorhandene Azure VM in einem Azure virtuellen Netzwerk bereit, um auf die Azure Payment HSM v2-Umgebung zuzugreifen.
  2. Stellen Sie eine Verbindung mit der HSM-Verwaltungsschnittstelle her, indem Sie das Hilfsprogramm Utimaco Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD) und Smartcards für Administratoren oder Sicherungen verwenden.
  3. Einrichten des Zugriffs auf den HSM-Verwaltungsport über eine genehmigte Konnektivitätsmethode, z. B. SSH-Portweiterleitung oder VPN.
  4. Überprüfen Sie die erfolgreiche Verbindung mit der HSM-Verwaltungsschnittstelle, und führen Sie die ersten HSM-Verwaltungsaufgaben aus.
  5. Stellen Sie eine Verbindung mit der HSM-Anwendungsschnittstelle her, und überprüfen Sie die Anwendungskonnektivität mithilfe vorhandener Zahlungsanwendungen und Testtransaktionen.

Verwaltungsport- und Anwendungsportinformationen

Verwaltungsport: 7005 - Administrative und Verwaltungsaufgaben.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, wo <node-number> ist 1, , 2oder 3

Anwendungsport: 2200 – Datenebene der Zahlungsanwendung für Atalla-Befehle und kryptografische Vorgänge.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, wo <node-number> ist 1, , 2oder 3

Bereitstellen eines Azure virtuellen Computers in einem Azure virtuellen Netzwerk

Verwenden Sie die Schnellstartanleitung: Erstellen Sie eine Linux-VM im Azure-Portal, um eine Azure VM bereitzustellen, die Ubuntu Server 22.04 LTS ausführt. Wählen Sie während der Netzwerkkonfiguration das virtuelle Clientnetzwerk und das Verwaltungssubnetz aus, das Sie zuvor erstellt haben.

Konfigurieren Sie VPN oder SSH-Portweiterleitung für die Verbindung zu Ihrem Payment HSM v2

Stellen Sie mithilfe einer der folgenden genehmigten Methoden eine Verbindung mit Ihrer Azure Payment HSM v2-Verwaltungsschnittstelle her.

Standort-zu-Standort-VPN, das mit dem Azure virtuellen Netzwerk verbunden ist, in dem der Verwaltungsendpunkt gehostet wird:

Point-to-Site-VPN, das mit dem Azure virtuellen Netzwerk verbunden ist, in dem der Verwaltungsendpunkt gehostet wird:

Lokale SSH-Portweiterleitung über eine Azure VM (Sprungfeld), die in Ihrem Azure virtuellen Netzwerk bereitgestellt wird:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Beispiel:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Verwandte Inhalte

  • Zuletzt aktualisiert um