Inicio rápido: Creación de un HSM v2 de pago de Azure

Azure Payment HSM v2 es un servicio de seguridad de hardware de pago de un solo inquilino (HSM) de alta disponibilidad para el procesamiento de pagos, emisión de credenciales, procesamiento de PIN, administración de claves y protección de datos de autenticación. Azure Payment HSM v2 ayuda a los proveedores de servicios e instituciones financieras a modernizar sus sistemas de pago y adoptar la nube pública. Para obtener más información, consulte ¿Qué es Azure Payment HSM v2?

En este inicio rápido se describe cómo incorporar e implementar un clúster de Azure Payment HSM v2 dentro de la red virtual privada.

Prerequisites

Preparación del entorno

  • Use Azure Cloud Shell o instale Azure PowerShell. Si usa Azure PowerShell localmente, inicie sesión en Azure.
  • Instale OpenSSL para crear el certificado.
  • Use una identidad que tenga permiso para crear grupos de recursos, redes virtuales, puntos de conexión privados, zonas del sistema de nombres de dominio (DNS) privados y recursos de HSM v2 de pago. La identidad también necesita permiso para registrar características de la suscripción de Azure.
  • Durante la versión preliminar, implemente Payment HSM v2 solo en la región Oeste de EE. UU. o Oeste de Europa.

Establecimiento de cuentas de Azure y Utimaco

Antes de incorporar Azure Payment HSM v2, confirme que la organización tiene una cuenta y una suscripción de Azure activas, así como una cuenta registrada del Portal de soporte técnico de Utimaco. Necesita estas cuentas para aprovisionar recursos, acceder a software y documentación y recibir soporte técnico para la incorporación.

cuenta de Azure

Debe tener una cuenta de Azure activa y una suscripción de Azure antes de incorporar Azure Payment HSM v2. Si no tiene una cuenta de Azure, cree una cuenta gratuita antes de comenzar.

Cuenta de Utimaco

La incorporación a Azure Payment HSM v2 requiere una cuenta de Utimaco activa y la habilitación correspondiente antes de realizar el aprovisionamiento. Durante la versión preliminar pública, después de Microsoft aprueba la solicitud de incorporación, Microsoft le conecta con el equipo de Utimaco Azure. El equipo trabaja directamente con usted para completar la incorporación. Las nuevas solicitudes de cuenta de Utimaco pueden tardar hasta 48 horas en procesarse y activarse. Si no tiene una cuenta de Utimaco, consulte Creación de una cuenta en el portal de Utimaco para obtener instrucciones.

Recepción y comprobación del paquete de bienvenida de incorporación

Utimaco proporciona el paquete de bienvenida necesario para el proceso de incorporación a Azure Payment HSM v2. El paquete incluye la aplicación Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD), tarjetas inteligentes y materiales de incorporación relacionados. Compruebe la recepción de todo el contenido del paquete antes de continuar con las actividades de incorporación.

Acciones del cliente

  1. Confirme la recepción del paquete de bienvenida de incorporación y todos los materiales incluidos.
  2. Compruebe la entrega de la aplicación SCA, el C3 KLD, las tarjetas inteligentes y la documentación auxiliar.
  3. Envíe la confirmación del recibo del paquete tanto a Microsoft como a Utimaco antes de continuar con el siguiente paso de incorporación.

Establecimiento de la confianza de cliente

Para establecer una confianza mutua entre su entorno y Azure Payment HSM v2, configure un certificado de entidad de certificación (CA) de confianza para la interfaz de administración y la interfaz de aplicación. Use estos certificados para la autenticación de cliente y para establecer una conectividad segura y autenticada mutuamente con Azure HSM v2 de pago. Cree certificados raíz de autoridad de certificación autofirmados y confirme que cada certificado utiliza una clave pública de curva elíptica (EC) basada en la curva NIST P-256. Use el ejemplo siguiente para generar certificados.

Para obtener información sobre el modelo de confianza en el que se basan estos certificados, incluidas las anclas de confianza independientes para administración y aplicaciones, y sobre por qué el servicio solo admite CA raíz P-256 autofirmadas, consulte Autenticación y control de acceso para Azure Payment HSM v2.

Crear certificados de autenticación de autoridad de certificación

Genere pares de claves de curva elíptica y cree certificados autofirmados de autoridad de certificación utilizando los siguientes comandos de OpenSSL.

Importante

Use una autoridad de certificación raíz autofirmada para cada certificado de emisor de confianza. El certificado debe usar una clave pública EC en la curva NIST P-256 (prime256v1). Azure Payment HSM v2 no admite certificados de ENTIDAD de certificación intermedios ni certificados que usan otros algoritmos criptográficos o tipos de clave.

  • Las AC de confianza del puerto de administración se encuentran en certs-mgmt/.
  • Las entidades de certificación de confianza de puerto de aplicación van en certs/.

Generación de claves de entidad de certificación y certificados autofirmados

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Registrar la característica AllowPrivateEndpoints

Azure HSM v2 de pago requiere un punto de conexión privado. Durante la versión preliminar pública, Azure no registra automáticamente esta funcionalidad. Registrar la característica AllowPrivateEndpoints para el proveedor de recursos Microsoft.Network en cada suscripción donde implemente el servicio. Si no registra esta funcionalidad, los pasos de configuración de red posteriores de esta guía de inicio rápido fallarán.

Importante

El equipo de Azure Payment HSM v2 registra su recurso de Payment HSM v2. Registre la función AllowPrivateEndpoints en cada suscripción en la que implemente el servicio. El registro puede tardar unos minutos en completarse. Espere hasta que la característica muestre un estado Registrado antes de continuar con Creación de una red virtual de cliente y una zona DNS privada.

Establezca el contexto de la suscripción, registre la característica y compruebe el registro.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Implementar Azure Payment HSM v2

Creación de una instancia de HSM v2 de pago

En el ejemplo siguiente se crea un grupo de recursos y una instancia de Payment HSM v2. Ejecute el ejemplo desde el directorio que contiene management-trusted-ca.pem y application-trusted-ca.pem. Establezca el contexto de la suscripción y actualice la ubicación, el nombre del recurso y el nombre del grupo de recursos para que coincidan con el entorno.

Importante

Elija un nombre de HSM único. Si especifica un nombre de HSM que ya existe en la región elegida, se produce un error en la implementación.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Implemente los recursos de Payment HSM v2 en un grupo de recursos distinto del de los recursos asociados de la red virtual y la máquina virtual (VM) del cliente. Los grupos de recursos independientes proporcionan una mejor administración y aislamiento de seguridad.

Creación de una red virtual de cliente y una zona DNS privada

Implemente la red virtual cliente y la máquina virtual en la misma región que el recurso de HSM. Actualice el grupo de recursos y los nombres de red virtual para que coincidan con el entorno. En el ejemplo siguiente se crea un grupo de recursos, una red virtual con subredes de aplicación y administración independientes y una zona DNS privada. A continuación, el ejemplo vincula la zona a la red virtual.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Creación de un punto de conexión privado para Azure HSM v2 de pago

Azure Payment HSM v2 expone dos identificadores de grupo de vínculo privado: management en el puerto 7005 y application en el puerto 2200. Cree un punto de conexión privado independiente para cada identificador de grupo mediante la subred correspondiente de Creación de una red virtual de cliente y una zona DNS privada. Cree ambos puntos de conexión para el acceso completo a aplicaciones administrativas y de pago. Si solo necesita acceso administrativo, como para el dispositivo de carga de claves (KLD) de Utimaco, cree solo el punto de conexión de administración.

En primer lugar, cree ambos puntos de conexión privados:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

A continuación, conecte ambos puntos de conexión a la zona DNS privada para que sus nombres de host se resuelvan desde su red virtual:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Sugerencia

Los puntos de conexión privados conectan la red virtual a Azure HSM v2 de pago a través de Azure Private Link. El tráfico entre la red virtual y el servicio permanece en la red Microsoft. Esta conectividad privada reduce la exposición a Internet pública, como se indica en Seguridad de red para Azure Payment HSM v2.

Conectarse a Azure Payment HSM v2

Después de aprovisionar la instancia de Azure Payment HSM v2 y establecer los puntos de conexión privados, configure la conectividad tanto para las interfaces de administración como para las de aplicación del clúster de Azure Payment HSM v2. Azure Private Link proporciona conectividad desde la red virtual. Para conectarse desde una red local, incluido el dispositivo de carga de claves de Utimaco (KLD), use una red privada virtual (VPN) de sitio a sitio u otra conexión híbrida aprobada. Las estaciones de trabajo individuales pueden usar un reenvío de puerto VPN de punto a sitio o Secure Shell (SSH) a través de una máquina virtual de Azure.

El documento APM on LS2 Operational Instructions (Instrucciones operativas de APM en LS2 ) del portal de Utimaco proporciona procedimientos detallados de instalación, configuración, validación y solución de problemas. El acceso al documento requiere una cuenta activa del portal de Utimaco y un registro.

Importante

Para llegar a la interfaz de administración desde fuera de la Azure red virtual, conéctese a través de un túnel SSH o VPN aprobado. Proporcionar conectividad de red al puerto de administración (7005) y al puerto de aplicación (2200) desde estaciones de trabajo de administración autorizadas y aplicaciones de pago.

Acciones del cliente

  1. Implemente o use una máquina virtual de Azure existente dentro de una red virtual de Azure para acceder al entorno de HSM v2 de pago Azure.
  2. Conéctese a la interfaz de administración de HSM mediante la utilidad Utimaco Secure Configuration Assistant (SCA), el dispositivo de carga de claves C3 (KLD) y las tarjetas inteligentes de administrador o copia de seguridad.
  3. Establezca el acceso al puerto de administración de HSM a través de un método de conectividad aprobado, como el reenvío de puertos SSH o VPN.
  4. Compruebe la conectividad correcta con la interfaz de administración de HSM y complete las tareas iniciales de administración de HSM.
  5. Conéctese a la interfaz de aplicación de HSM y compruebe la conectividad de la aplicación mediante las aplicaciones de pago existentes y las transacciones de prueba.

Información del puerto de administración y del puerto de aplicación

Puerto de administración: 7005 - Operaciones administrativas y de administración.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, donde <node-number> es 1, 2o 3

Puerto de aplicación: 2200 : plano de datos de aplicación de pago para comandos de Atalla y operaciones criptográficas.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, donde <node-number> es 1, 2o 3

Implementación de una máquina virtual Azure dentro de una red virtual Azure

Uso de inicio rápido: Creación de una máquina virtual Linux en el portal de Azure para implementar una máquina virtual de Azure que ejecuta Ubuntu Server 22.04 LTS. Durante la configuración de red, seleccione la red virtual cliente y la subred de administración que creó anteriormente.

Configure la redirección de puertos de VPN o SSH para conectarse a su Payment HSM v2

Conéctese a la interfaz de administración de su Azure Payment HSM v2 mediante uno de los siguientes métodos aprobados.

VPN de sitio a sitio conectada a la red virtual Azure que hospeda el punto de conexión de administración:

VPN de punto a sitio conectada a la red virtual Azure que hospeda el punto de conexión de administración:

Reenvío de puertos locales SSH a través de una máquina virtual de Azure (jump box) implementada dentro de la red virtual de Azure:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Por ejemplo:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Contenido relacionado

  • Se actualizó por última vez el