Démarrage rapide : Créer un HSM de paiement Azure v2

Azure Payment HSM v2 est un service de module matériel de sécurité (HSM) pour les paiements, hautement disponible et mono-locataire, conçu pour le traitement des paiements, l’émission d’identifiants, le traitement des codes PIN, la gestion des clés et la protection des données d’authentification. Azure HSM de paiement v2 aide les fournisseurs de services et les institutions financières à moderniser leurs systèmes de paiement et à adopter le cloud public. Pour plus d’informations, consultez Qu’est-ce que Azure HSM de paiement v2 ?

Ce guide de démarrage rapide explique comment intégrer et déployer un cluster Azure Payment HSM v2 au sein de votre réseau virtuel privé.

Prerequisites

Préparer votre environnement

  • Utilisez Azure Cloud Shell ou installez Azure PowerShell. Si vous utilisez Azure PowerShell localement, connectez-vous à Azure.
  • Installez OpenSSL pour créer le certificat.
  • Utilisez une identité qui a l’autorisation de créer des groupes de ressources, des réseaux virtuels, des points de terminaison privés, des zones DNS (Domain Name System) privées et des ressources HSM v2 de paiement. L’identité doit également être autorisée à enregistrer les fonctionnalités de l’abonnement Azure.
  • Pendant la préversion, déployez le module HSM de paiement v2 uniquement dans la région USA Ouest ou Europe Ouest.

Établir des comptes Azure et Utimaco

Avant d’intégrer Azure paiement HSM v2, vérifiez que votre organisation dispose d’un compte de Azure actif et d’un abonnement, ainsi qu’un compte de portail de support Utimaco inscrit. Vous avez besoin de ces comptes pour approvisionner des ressources, accéder aux logiciels et la documentation, et recevoir le support d’intégration.

Compte Azure

Vous devez disposer d’un compte de Azure actif et d’un abonnement Azure avant d’intégrer Azure HSM de paiement v2. Si vous n'avez pas de compte Azure, créez un compte gratuit avant de commencer.

Compte Utimaco

L’intégration à Azure Payment HSM v2 nécessite un compte Utimaco actif et des droits d’utilisation actifs avant le provisionnement. Lors de la préversion publique, après Microsoft approuve votre demande d’intégration, Microsoft vous connecte à l’équipe Azure Utimaco. L’équipe travaille directement avec vous pour terminer l’intégration. Les nouvelles demandes de compte Utimaco peuvent prendre jusqu’à 48 heures pour traiter et activer. Si vous n’avez pas de compte Utimaco, consultez Créer un compte dans le portail Utimaco pour obtenir des instructions.

Recevoir et vérifier le package d’accueil d’intégration

Utimaco fournit le package de bienvenue requis pour l’intégration de Azure paiement HSM v2. Le package inclut l’application SCA (Secure Configuration Assistant), L’appareil de chargement de clé C3 (KLD), les cartes à puce et les documents d’intégration associés. Vérifiez la réception de tout le contenu du package avant de poursuivre les activités d’intégration.

Actions des clients

  1. Confirmez la réception du package d’accueil d’intégration et tous les documents inclus.
  2. Vérifiez la remise de l’application SCA, du KLD C3, des cartes à puce et de la documentation de prise en charge.
  3. Envoyez l’accusé de réception du package à la fois Microsoft et Utimaco avant de passer à l’étape d’intégration suivante.

Établir l’approbation du client

Pour établir une confiance mutuelle entre votre environnement et Azure Paiement HSM v2, configurez un certificat d’autorité de certification approuvée pour l’interface de gestion et l’interface d’application. Utilisez ces certificats pour l’authentification du client et pour établir une connectivité sécurisée et mutuellement authentifiée à Azure HSM de paiement v2. Créez des certificats racines d’autorité de certification autosignés et vérifiez que chaque certificat utilise une clé publique à courbe elliptique (EC) reposant sur la courbe P-256 du National Institute of Standards and Technology (NIST). Utilisez l’exemple suivant pour générer des certificats.

Pour le modèle de confiance sous-jacent à ces certificats, y compris les ancres de confiance de gestion et d’application distinctes et la raison pour laquelle le service prend uniquement en charge les autorités de certification racines P-256 auto-signées, consultez Authentification et contrôle d’accès pour Azure Payment HSM v2.

Créer des certificats d'authentification de l'autorité de certification

Générez des paires de clés de courbe elliptique et créez des certificats d’autorité de certification auto-signés à l’aide des commandes OpenSSL suivantes.

Important

Utilisez une autorité de certification racine auto-signée pour chaque certificat d’émetteur de confiance. Le certificat doit utiliser une clé publique EC sur la courbe NIST P-256 (prime256v1). Azure Paiement HSM v2 ne prend pas en charge les certificats ou certificats d'autorité de certification intermédiaires qui utilisent d'autres algorithmes de chiffrement ou types de clés.

  • Les autorités de certification de confiance du port de gestion vont dans certs-mgmt/.
  • Les autorités de certification approuvées du port d’application vont dans certs/.

Générer des clés d’autorité de certification et des certificats auto-signés

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Inscrire la fonctionnalité AllowPrivateEndpoints

Azure paiement HSM v2 nécessite un point de terminaison privé. Pendant la préversion publique, Azure n'inscrit pas automatiquement cette fonctionnalité. Enregistrez la fonctionnalité AllowPrivateEndpoints pour le fournisseur de ressources Microsoft.Network dans chaque abonnement où vous déployez le service. Si vous n’inscrivez pas cette fonctionnalité, les étapes de mise en réseau plus loin dans ce guide de démarrage rapide échouent.

Important

L’équipe Azure Payment HSM v2 enregistre votre ressource Payment HSM v2. Inscrivez la AllowPrivateEndpoints fonctionnalité vous-même sur chaque abonnement où vous déployez le service. L’inscription peut prendre quelques minutes. Attendez que la fonctionnalité affiche un état inscrit avant de continuer à créer un réseau virtuel client et une zone DNS privée.

Définissez le contexte de votre abonnement, inscrivez la fonctionnalité, puis vérifiez l’inscription.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Déployer Azure Payment HSM v2

Créer une instance HSM de paiement v2

L’exemple suivant crée un groupe de ressources et une instance HSM de paiement v2. Exécutez l’exemple à partir du répertoire qui contient management-trusted-ca.pem et application-trusted-ca.pem. Définissez le contexte de l’abonnement et mettez à jour l’emplacement, le nom de la ressource et le nom du groupe de ressources pour qu’il corresponde à votre environnement.

Important

Choisissez un nom HSM unique. Si vous spécifiez un nom HSM qui existe déjà dans la région choisie, votre déploiement échoue.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Déployez vos ressources HSM de paiement v2 dans un groupe de ressources distinct de vos ressources de réseau virtuel client et de machine virtuelle associées. Les groupes de ressources distincts offrent une meilleure gestion et une meilleure isolation de sécurité.

Créer un réseau virtuel client et une zone DNS privée

Déployez votre réseau virtuel client et votre machine virtuelle dans la même région que votre ressource HSM. Mettez à jour le groupe de ressources et les noms de réseau virtuel pour qu’ils correspondent à votre environnement. L’exemple suivant crée un groupe de ressources, un réseau virtuel avec des sous-réseaux de gestion et d’application distincts et une zone DNS privée. L’exemple lie ensuite la zone au réseau virtuel.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Créer un point de terminaison privé pour Azure HSM de paiement v2

Azure Payment HSM v2 expose deux ID de groupe Private Link : management sur le port 7005 et application sur le port 2200. Créez un point de terminaison privé distinct pour chaque ID de groupe à l’aide du sous-réseau correspondant à partir de créer un réseau virtuel client et une zone DNS privée. Créez les deux points de terminaison pour l’accès complet aux applications administratives et aux applications de paiement. Si vous avez uniquement besoin d’un accès administratif, par exemple pour l’appareil de chargement de clé Utimaco (KLD), créez uniquement le point de terminaison de gestion.

Tout d’abord, créez les deux points de terminaison privés :

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Ensuite, connectez les deux points de terminaison à la zone DNS privée afin que leurs noms d’hôte se résolvent depuis votre réseau virtuel :

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Conseil / Astuce

Les points de terminaison privés connectent votre réseau virtuel à Azure HSM de paiement v2 via Azure Private Link. Le trafic entre votre réseau virtuel et le service reste sur le réseau Microsoft. Cette connectivité privée réduit l’exposition à l’Internet public, comme indiqué dans Sécurité réseau pour Azure Payment HSM v2.

Se connecter à Azure Payment HSM v2

Après avoir provisionné votre instance de paiement HSM v2 et établi les points de terminaison privés, configurez la connectivité vers les interfaces de gestion et d’application du cluster Azure Payment HSM v2. Azure Private Link fournit une connectivité à partir du réseau virtuel. Pour vous connecter à partir d’un réseau local, y compris l’appareil de chargement de clé Utimaco (KLD), utilisez un réseau privé virtuel de site à site (VPN) ou une autre connexion hybride approuvée. Les stations de travail individuelles peuvent utiliser un transfert de port VPN point à site ou SSH (Secure Shell) via une machine virtuelle Azure.

Le document APM sur les instructions opérationnelles LS2 du portail Utimaco fournit des procédures détaillées d’installation, de configuration, de validation et de résolution des problèmes. L’accès au document nécessite un compte et une inscription actifs du portail Utimaco.

Important

Pour atteindre l’interface de gestion en dehors du réseau virtuel Azure, connectez-vous via un tunnel VPN ou SSH approuvé. Fournir une connectivité réseau au port de gestion (7005) et au port d’application (2200) à partir de stations de travail de gestion et d’applications de paiement autorisées.

Actions des clients

  1. Déployez ou utilisez une machine virtuelle Azure existante au sein d’un réseau virtuel Azure pour accéder à l’environnement Azure Payment HSM v2.
  2. Connectez-vous à l’interface de gestion HSM à l’aide de l’utilitaire SCA (Utimaco Secure Configuration Assistant), de l’appareil de chargement de clés C3 (KLD) et de l’administrateur ou des cartes à puce de sauvegarde.
  3. Établissez l’accès au port de gestion HSM via une méthode de connectivité approuvée, telle que le transfert de port SSH ou le VPN.
  4. Vérifiez la réussite de la connectivité à l’interface de gestion HSM et effectuez les tâches d’administration HSM initiales.
  5. Connectez-vous à l’interface d’application HSM et vérifiez la connectivité de l’application à l’aide d’applications de paiement existantes et testez les transactions.

Informations sur le port de gestion et le port d’application

Port de gestion : 7005 - Opérations d’administration et de gestion.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, où <node-number> est 1, 2ou 3

Port d’application : 2200 - Plan de données d’application de paiement pour les commandes Atalla et les opérations de chiffrement.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, où <node-number> est 1, 2ou 3

Déployer une machine virtuelle Azure au sein d’un réseau virtuel Azure

Utilisez le guide de démarrage rapide : Créer une machine virtuelle Linux dans le portail Azure pour déployer une machine virtuelle Azure qui exécute Ubuntu Server 22.04 LTS. Pendant la configuration du réseau, sélectionnez le réseau virtuel client et le sous-réseau de gestion que vous avez créés précédemment.

Configurer une redirection de port VPN ou SSH pour vous connecter à votre Payment HSM v2

Connectez-vous à votre interface de gestion Azure Payment HSM v2 à l’aide de l’une des méthodes approuvées suivantes.

VPN de site à site connecté au réseau virtuel Azure hébergeant le point de terminaison de gestion :

VPN point à site connecté au réseau virtuel Azure hébergeant le point de terminaison de gestion :

Transfert de port local SSH via une machine virtuelle Azure (jump box) déployée dans votre réseau virtuel Azure :

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Par exemple:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Contenu connexe

  • Dernière mise à jour :