Az Azure Cloud HSM hálózati biztonsága

Az Azure Cloud HSM használatakor kulcsfontosságú a robusztus hálózati biztonság biztosítása. Ez a cikk útmutatást nyújt a privát végpontok konfigurálásához, a DNS-beállításhoz, a szükséges portokhoz, a hálózati biztonsági csoport (NSG) szabályaihoz és a virtuális gépek elhelyezéséhez, hogy megelőzze a jogosulatlan hozzáférést és növelje az általános biztonságot.

Privát végpont

Az Azure Cloud HSM üzembe helyezésének biztonsága érdekében használjon privát alhálózatokat és privát végpontokat. Privát kapcsolaton keresztül teszik lehetővé az Azure Cloud HSM-hez való biztonságos kapcsolatokat, hogy megkönnyítsék a virtuális hálózat magánhálózatról való IP-címkapcsolatát.

A privát végpont biztosítja, hogy a virtuális hálózat és az Azure szolgáltatás közötti forgalom a Microsoft gerinchálózatán áthaladjon a biztonság és a privát kommunikáció érdekében. Ez a proaktív megközelítés erősíti az alkalmazás biztonsági pozícióját azáltal, hogy minimalizálja az internetről érkező potenciális fenyegetéseknek való kitettséget.

A Azure felhőbeli HSM privát végpontjának létrehozásával kapcsolatos utasításokért lásd: Azure felhőalapú HSM üzembe helyezése a Azure portál használatával vagy Azure felhőalapú HSM üzembe helyezése Azure PowerShell használatával. A Private Link integráció teljes körű bemutatása, beleértve a DNS-kezelést és -ellenőrzést, lásd: Azure felhőalapú HSM integrálása Azure Private Link.

saját DNS

Amikor privát végpontot hoz létre Azure felhőbeli HSM-hez, a szolgáltatás minden HSM-csomóponthoz egy privát DNS-állomásnevet rendel a következő formátumban:

hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net

Ezeknek a gazdagépneveknek a virtuális hálózatból való feloldásához konfiguráljon egy privát DNS-zónát privatelink.cloudhsm.azure.net , és kapcsolja össze a rendszergazdai és alkalmazásbeli virtuális gépeket tartalmazó virtuális hálózatokkal. Amikor privát végpontot hoz létre a Azure portálon keresztül, engedélyezheti az automatikus privát DNS-zónaintegrációt a DNS lapon.

Megjegyzés

A rendszergazdai virtuális gépeknek és alkalmazás virtuális gépeknek képesnek kell lenniük a HSM-gazdagépnév feloldására. Ha a DNS-feloldás sikertelen, az azcloudhsm_client és azcloudhsm_mgmt_util eszközök nem tudnak csatlakozni a HSM-klaszterhez. Az HSM-eszközök futtatása előtt ellenőrizze a DNS-feloldást úgy, hogy a virtuális gépen futtatja a(z) nslookup <hsm-hostname> parancsot.

Szükséges portok

Azure Cloud HSM a következő portokat használja. Győződjön meg arról, hogy az NSG-szabályok és a tűzfalak engedélyezik ezen portok forgalmát a virtuálisgép-alhálózatokról a privát végpontra.

Port Irány Eszköz Alkalmazás célja
2224 Kimenő (VM → HSM) azcloudhsm_client Ügyfél előtérrendszere (TCP TLS-en keresztül)
2225 Kimenő (VM → HSM) azcloudhsm_client Ügyfél előtérrendszere (TCP TLS-en keresztül)
443 Kimenő (VM → HSM) azcloudhsm_client Ügyfelek kérései
444 Kimenő (VM → HSM) azcloudhsm_mgmt_util Felügyeleti segédprogram kérései
445 Internal Service Kiszolgáló–kiszolgáló (HSM-csomópont) kommunikáció

NSG-szabályok

Ha egy NSG-vel rendelkező alhálózaton helyezi üzembe a rendszergazdai és alkalmazásbeli virtuális gépeket, adjon hozzá kimenő szabályokat a HSM privát végpontja felé irányuló forgalom engedélyezéséhez a szükséges portokon. Például:

Priority Name Source Destination Port Protocol Action
100 HSM-kliens engedélyezése VirtualNetwork <private-endpoint-IP> 2224, 2225 TCP Allow
110 Engedélyezés –HSM-Mgmt VirtualNetwork <private-endpoint-IP> 443, 444 TCP Allow

Cserélje le <private-endpoint-IP> a felhőbeli HSM privát végpontjához rendelt privát IP-címre, vagy használja a privát végpontot tartalmazó alhálózati címtartományt.

Virtuális gép elhelyezése

Azure felhőbeli HSM ügyfél-démon architektúrát használ. A azcloudhsm_client démonnak ugyanazon a virtuális gépen kell futnia, mint az alkalmazásnak, mert az alkalmazás egy helyi szoftvercsatornán keresztül kommunikál a démonnal. Ez a következőt jelenti:

  • Rendszergazdai virtuális gép: a HSM kezdeti beállításához, a felhasználókezeléshez, a kulcskezeléshez és a biztonsági mentési műveletekhez használatos. Futtatás azcloudhsm_mgmt_util és azcloudhsm_util.
  • Alkalmazás-virtuális gépek: ezeken futnak a munkaterhelések (például Apache, NGINX, SQL Server vagy egyéni alkalmazások), és mindegyiken a azcloudhsm_client saját példányának kell futnia.

Mindkét virtuális géptípusnak olyan virtuális hálózaton kell lennie, amely rendelkezik a felhőbeli HSM privát végponttal való kapcsolattal.

Jótanács

Javasoljuk, hogy a felhőbeli HSM-erőforrásokat az ügyfél virtuális gépeitől és virtuális hálózatától eltérő erőforráscsoportba helyezze. Ez javítja a felügyelet és a biztonság elkülönítését. További információ: Azure felhőbeli HSM üzembe helyezése a Azure portál használatával.

Helyszíni kapcsolatok

Ha az aláíró kiszolgálók vagy alkalmazások a helyszínen futnak, Azure felhőbeli HSM-hez csatlakoztathatja őket a Azure VPN Gateway használatával:

Mindkét esetben a helyszíni gazdagépnek futtatnia kell a azcloudhsm_client démont, és képesnek kell lennie a HSM privát végpont IP-címeinek elérésére a VPN-alagúton keresztül.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: