Share via

Tutorial: Erstellen einer Payment HSM-Instanz

  • Artikel

Azure Payment HSM ist ein „BareMetal“-Dienst, der mit Thales payShield 10K-Hardwaresicherheitsmodulen (HSMs) für den Zahlungsverkehr bereitgestellt wird und kryptografische Schlüsselvorgänge für kritische Zahlungstransaktionen in Echtzeit in der Azure-Cloud ermöglicht. Azure Payment HSM wurde speziell entwickelt, um einen Dienstanbieter und ein einzelnes Finanzinstitut dabei zu unterstützen, die digitale Transformationsstrategie ihres Zahlungssystems zu beschleunigen und die öffentliche Cloud einzuführen. Weitere Informationen finden Sie unter Azure Payment HSM: Übersicht.

Dieses Tutorial beschreibt, wie Sie ein Azure Payment HSM mit dem Host und dem Verwaltungsport im selben virtuellen Netzwerk erstellen. Sie können stattdessen Folgendes:

Hinweis

Wenn Sie ein vorhandenes VNET wiederverwenden möchten, überprüfen Sie, ob Sie alle Voraussetzungen erfüllt haben, und lesen Sie dann die Informationen zum Wiederverwenden eines vorhandenen virtuellen Netzwerks.

Voraussetzungen

Wichtig

Azure Payment HSM ist ein spezialisierter Dienst. Um sich für das Onboarding und die Verwendung von Azure Payment HSM zu qualifizieren, müssen Kunden über einen zugewiesenen Microsoft Account Manager und über einen Cloud Service Architect (CSA) verfügen.

Um sich nach dem Dienst zu erkundigen, den Qualifizierungsprozess zu starten und die Voraussetzungen vor dem Onboarding vorzubereiten, bitten Sie Ihren Microsoft-Konto-Manager und CSA, eine Anforderung per E-Mail zu senden.

  • Sie müssen die Ressourcenanbieter „Microsoft.HardwareSecurityModules“ und „Microsoft.Network“ sowie die Azure Payment HSM-Features registrieren. Die Schritte hierzu finden Sie unter Registrieren des Azure Payment HSM-Ressourcenanbieters und der Ressourcenanbieter-Features.

    Warnung

    Sie müssen das Featureflag „FastPathEnabled“ auf jede Abonnement-ID anwenden und jedem virtuellen Netzwerk das Tag „fastpathenabled“ hinzufügen. Weitere Informationen finden Sie unter Fastpathenabled.

    Verwenden Sie den Azure CLI-Befehl az provider show, um schnell festzustellen, ob die Ressourcenanbieter und Features bereits registriert sind. (Die Ausgabe dieses Befehls ist besser lesbar, wenn sie in Tabellenform angezeigt wird.)

    az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table

    Sie können mit diesem Schnellstart fortfahren, wenn alle vier Befehle „Registriert“ zurückgeben.

  • Sie benötigen ein Azure-Abonnement. Sie können ein kostenloses Konto erstellen, falls Sie noch kein Konto besitzen.

  • Verwenden Sie die Bash-Umgebung in Azure Cloud Shell. Weitere Informationen finden Sie unter Schnellstart für Bash in Azure Cloud Shell.

  • Wenn Sie CLI-Referenzbefehle lieber lokal ausführen, installieren Sie die Azure CLI. Wenn Sie Windows oder macOS ausführen, sollten Sie die Azure CLI in einem Docker-Container ausführen. Weitere Informationen finden Sie unter Ausführen der Azure CLI in einem Docker-Container.

    • Wenn Sie eine lokale Installation verwenden, melden Sie sich mithilfe des Befehls az login bei der Azure CLI an. Führen Sie die in Ihrem Terminal angezeigten Schritte aus, um den Authentifizierungsprozess abzuschließen. Informationen zu anderen Anmeldeoptionen finden Sie unter Anmelden mit der Azure CLI.

    • Installieren Sie die Azure CLI-Erweiterung beim ersten Einsatz, wenn Sie dazu aufgefordert werden. Weitere Informationen zu Erweiterungen finden Sie unter Verwenden von Erweiterungen mit der Azure CLI.

    • Führen Sie az version aus, um die installierte Version und die abhängigen Bibliotheken zu ermitteln. Führen Sie az upgrade aus, um das Upgrade auf die aktuelle Version durchzuführen.

Erstellen einer Ressourcengruppe

Eine Ressourcengruppe ist ein logischer Container, in dem Azure-Ressourcen bereitgestellt und verwaltet werden. Verwenden Sie den Befehl az group create, um eine Ressourcengruppe mit dem Namen myResourceGroup am Standort eastus zu erstellen.

az group create --name "myResourceGroup" --location "EastUS"

Erstellen eines virtuellen Netzwerks und des Subnetzes

Bevor Sie eine Payment HSM-Instanz erstellen, müssen Sie zunächst ein virtuelles Netzwerk und ein Subnetz erstellen. Verwenden Sie hierzu den Azure CLI-Befehl az network vnet create:

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Verwenden Sie anschließend den Azure CLI-Befehl az network vnet subnet update, um das Subnetz zu aktualisieren und ihm eine Delegierung von WMicrosoft.HardwareSecurityModules/dedicatedHSMs“ zu erteilen:

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Um zu überprüfen, ob das VNET und das Subnetz ordnungsgemäß erstellt wurden, verwenden Sie den Azure CLI-Befehl az network vnet subnet show:

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Notieren Sie sich die ID des Subnetzes, da Sie sie für den nächsten Schritt benötigen. Die ID des Subnetzes endet mit dem Namen des Subnetzes:

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Erstellen einer Payment HSM-Instanz

Wichtig

Wenn Sie zwei Payment HSM-Instanzen in derselben Region erstellen, müssen Sie eine „stamp1“ und die andere „stamp2“ zuweisen. Weitere Informationen finden Sie unter Bereitstellungsszenarien: Bereitstellung mit Hochverfügbarkeit.

Erstellen mit dynamischen Hosts

Verwenden Sie zum Erstellen einer Payment HSM mit dynamischen Hosts den Befehl az dedicated-hsm create. Im folgenden Beispiel wird eine Payment HSM-Instanz mit dem Namen myPaymentHSM in der Region eastus, in der Ressourcengruppe myResourceGroup und in einem angegebenen Abonnement, virtuellen Netzwerk und Subnetz bereitgestellt:

az dedicated-hsm create \
   --resource-group "myResourceGroup" \
   --name "myPaymentHSM" \
   --location "EastUS" \
   --subnet id="<subnet-id>" \
   --stamp-id "stamp1" \
   --sku "payShield10K_LMK1_CPS60"

Zum Anzeigen der neu erstellten Netzwerkschnittstellen verwenden Sie den Befehl az network nic list und geben Sie die Ressourcengruppe an:

az network nic list -g myResourceGroup -o table

In der Ausgabe sind Host 1 und Host 2 sowie eine Verwaltungsschnittstelle aufgeführt:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Um die Details einer neu erstellten Netzwerkschnittstelle anzuzeigen, verwenden Sie den Befehl az network nic show und geben dabei die Ressourcengruppe und den Namen der Netzwerkschnittstelle an:

az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

Die Ausgabe enthält diese Zeile:

  "privateIPAllocationMethod": "Dynamic",

Erstellen mit statischen Hosts

Verwenden Sie zum Erstellen einer Payment HSM mit statischen Hosts den Befehl az dedicated-hsm create. Im folgenden Beispiel wird eine Payment HSM-Instanz mit dem Namen myPaymentHSM in der Region eastus, in der Ressourcengruppe myResourceGroup und in einem angegebenen Abonnement, virtuellen Netzwerk und Subnetz bereitgestellt:

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Wenn Sie zusätzlich eine statische IP-Adresse für den Verwaltungshost angeben möchten, können Sie Folgendes hinzufügen:

  --mgmt-network-interfaces private-ip-address="10.0.0.7" \
  --mgmt-network-subnet="<subnet-id>"

Zum Anzeigen der neu erstellten Netzwerkschnittstellen verwenden Sie den Befehl az network nic list und geben Sie die Ressourcengruppe an:

az network nic list -g myResourceGroup -o table

In der Ausgabe sind Host 1 und Host 2 sowie die Verwaltungsschnittstelle aufgeführt:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Um die Eigenschaften einer Netzwerkschnittstelle anzuzeigen, verwenden Sie den Befehl az network nic show und geben Sie die Ressourcengruppe und den Namen der Netzwerkschnittstelle an:

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

Die Ausgabe enthält diese Zeile:

  "privateIPAllocationMethod": "Static",

Nächste Schritte

Fahren Sie mit dem nächsten Artikel fort, um zu erfahren, wie Sie Ihr Payment HSM anzeigen.

Anzeigen Ihrer Payment HSM-Instanzen

Weitere Informationen: