Rövid útmutató: Az Azure Cloud HSM üzembe helyezése az Azure PowerShell használatával

Az Azure Cloud HSM egy magas rendelkezésre állású, FIPS 140-3 3. szintű ellenőrzött egybérlős szolgáltatás, amely lehetővé teszi hardveres biztonsági modulok (HSM-ek) különböző módszerek használatával történő üzembe helyezését. Ilyen módszerek például az Azure CLI, az Azure PowerShell, az Azure Resource Manager-sablonok (ARM-sablonok), a Terraform vagy az Azure Portal. Ez a rövid útmutató végigvezeti az Azure PowerShell üzembehelyezési folyamatán.

Előfeltételek

  • Egy Azure-fiók, aktív előfizetéssel. Ha még nincs, hozz létre egy ingyenes fiókot, mielőtt elkezdenéd.
  • Az Azure PowerShell legújabb verziója telepítve van.
  • Megfelelő engedélyek erőforrások létrehozásához az előfizetésben, beleértve a HSM-erőforrásokat is.
  • Éles környezetek esetén egy meglévő virtuális hálózat és alhálózat a privát végpontok konfigurálásához.

Azure Cloud HSM-példány létrehozása

Az alábbi példakód létrehoz egy erőforráscsoportot és egy felhőbeli HSM-példányt. A környezetnek megfelelően frissítenie kell az előfizetést, az erőforráscsoportot, a helyet és a HSM-nevet.

Fontos

A HSM-névnek egyedinek kell lennie. Ha olyan HSM-nevet ad meg, amely már létezik a kiválasztott régióban, az üzembe helyezés sikertelen lesz.

# Define variables for your Cloud HSM deployment
$server = @{
    Location = "<location>"
    Sku = @{"family" = "B"; "Name" = "Standard_B1" }
    ResourceName = "<hsm-name>"
    ResourceType = "microsoft.hardwaresecuritymodules/cloudHsmClusters"
    ResourceGroupName = "<resource-group>"
    Force = $true
}

# Create an HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create an HSM cluster
New-AzResource @server -AsJob -Verbose

Megjegyzés:

Javasoljuk, hogy a felhőalapú HSM-erőforrásokat egy külön erőforráscsoportban helyezze üzembe a kapcsolódó ügyfél-virtuális hálózat és virtuálisgép-erőforrásoktól. Egy külön erőforráscsoport használata jobb felügyeletet és biztonsági elkülönítést biztosít.

Felügyelt identitás konfigurálása (nem kötelező)

Az Azure Cloud HSM biztonsági mentési és visszaállítási műveleteihez létre kell hoznia egy felhasználó által hozzárendelt felügyelt identitást. Ez az identitás a felhőbeli HSM-biztonsági másolatok a kijelölt tárfiókba való átvitelére szolgál az üzletmenet-folytonossági és vészhelyreállítási (BCDR) forgatókönyvekben.

Ha biztonsági mentési és visszaállítási funkciókat szeretne használni, a következő Azure PowerShell-parancsokkal hozhat létre és konfigurálhat felügyelt identitást:

# Define parameters for the new managed identity
$identity = @{
    Location          = "<location>"                                         
    ResourceName      = "<managed-identity-name>"                                         
    ResourceGroupName = "<resource-group>"
}

# Create a new user-assigned managed identity
New-AzUserAssignedIdentity -Name $identity.ResourceName -ResourceGroupName $identity.ResourceGroupName -Location $identity.Location

# Get the subscription ID
$subscriptionId = (Get-AzContext).Subscription.Id

# Define the Cloud HSM managed identity's patch payload
$chsmMSIPatch = @{
    Sku = @{
        Family = "B"
        Name = "Standard_B1"
    }
    Location = $server.Location
    Identity = @{
        type = "UserAssigned"
        userAssignedIdentities = @{
            "/subscriptions/$subscriptionId/resourcegroups/$($identity.ResourceGroupName)/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$($identity.ResourceName)" = @{}
        }
    }
} | ConvertTo-Json -Depth 4

# Construct the URI for the Cloud HSM resource
$resourceURI = "/subscriptions/$subscriptionId/resourceGroups/$($server.ResourceGroupName)/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/$($server.ResourceName)?api-version=2025-03-31"

# Update the Cloud HSM resource with the managed identity
Invoke-AzRestMethod -Path $resourceURI -Method Put -Payload $chsmMSIPatch

A biztonsági mentési és visszaállítási műveletek konfigurálásával kapcsolatos részletes utasításokért lásd: Azure Cloud HSM-erőforrások biztonsági mentése és visszaállítása.

A hálózat beállítása

Éles környezetekben határozottan javasoljuk, hogy konfiguráljon egy privát végpontot a felhőbeli HSM üzembe helyezéséhez a biztonságos kommunikáció biztosítása érdekében. Privát végpont létrehozásához az alábbi Azure PowerShell-parancsokat használhatja:

# Define private endpoint parameters
$privateEndpoint = @{
    Name = "<private-endpoint-name>"
    ResourceGroupName = $server.ResourceGroupName
    Location = $server.Location
    Subnet = $subnet # You need to have $subnet defined with your subnet configuration
    PrivateLinkServiceConnection = @{
        Name = "$($server.ResourceName)-connection"
        PrivateLinkServiceId = "/subscriptions/$subscriptionId/resourceGroups/$($server.ResourceGroupName)/providers/Microsoft.HardwareSecurityModules/cloudHsmClusters/$($server.ResourceName)"
        GroupId = "cloudhsmclusters"
    }
}

# Create the private endpoint
New-AzPrivateEndpoint @privateEndpoint

Jótanács

A privát végpontok kulcsfontosságúak a biztonság szempontjából. Privát kapcsolaton keresztül teszik lehetővé az Azure Cloud HSM-példányhoz való biztonságos kapcsolatot. Ezek a kapcsolatok biztosítják, hogy a virtuális hálózat és a szolgáltatás közötti forgalom áthaladjon a Microsoft gerinchálózatán. Ez a konfiguráció kiküszöböli a nyilvános internetnek való kitettséget az Azure Cloud HSM hálózati biztonságában leírtak szerint.

A felhőbeli HSM-erőforrás üzembe helyezése

Amikor a paraméterrel futtatja a New-AzResource-AsJob parancsot, az létrehoz egy háttérfeladatot a felhőalapú HSM-erőforrás üzembe helyezéséhez. Az üzembe helyezés állapotát a következő futtatásával ellenőrizheti:

Get-Job -Id <job-id> | Receive-Job

A fenti parancsban a <job-id> az azonosító, amelyet a rendszer visszaadott, amikor lefuttatta a New-AzResource parancsot.

Az üzembe helyezés akkor fejeződik be, ha sikeres eredményt lát a feladatból, vagy ha ellenőrizheti, hogy az erőforrás létezik-e az Azure-előfizetésben.

A HSM inicializálása és konfigurálása

Az Azure Cloud HSM aktiválása és konfigurálása közvetlenül az Azure PowerShellen keresztül nem végezhető el. Szüksége van az Azure Cloud HSM SDK-ra és az ügyféleszközökre.

Miután üzembe helyezte a felhőalapú HSM-erőforrást az Azure PowerShell-lel, kövesse az alábbi lépéseket:

  1. Töltse le és telepítse az Azure Cloud HSM SDK-t a GitHubról egy olyan virtuális gépre, amely hálózati kapcsolatot létesít a HSM-ével.

  2. Inicializálja és konfigurálja a HSM-et az Azure Cloud HSM előkészítési útmutatójának részletes lépéseit követve.

  3. Felhasználói felügyelet létrehozása a megfelelő titkosítási tisztekkel és felhasználókkal az Azure Cloud HSM felhasználói felügyeletében leírtak szerint.

  4. Megfelelő kulcskezelési eljárások implementálása az optimális biztonság és teljesítmény biztosítása érdekében az Azure Cloud HSM kulcskezelésében leírtak szerint.

Erőforrások tisztítása

Ha csak ehhez a rövid útmutatóhoz hozott létre erőforráscsoportot, és nem kell megtartania ezeket az erőforrásokat, törölheti a teljes erőforráscsoportot:

Remove-AzResourceGroup -Name $server.ResourceGroupName -Force

Gyakori üzembehelyezési problémák elhárítása

Ha problémákba ütközik az üzembe helyezés során:

  • Erőforrásnév-ütközések: Győződjön meg arról, hogy a HSM neve egyedi a régióban. Ha az üzembe helyezés elnevezési ütközéssel meghiúsul, próbálkozzon egy másik névvel.
  • Hálózati csatlakozási problémák: Ha privát végpontokat használ, ellenőrizze, hogy a virtuális gép megfelelő hálózati hozzáféréssel rendelkezik-e a HSM-hez. Az ajánlott eljárásokért tekintse meg az Azure Cloud HSM hálózati biztonságát.
  • Hitelesítési hibák: A HSM inicializálásakor győződjön meg arról, hogy a hitelesítő adatok megfelelő formátumát használja az Azure Cloud HSM-hitelesítésben leírtak szerint.
  • Felügyelt identitással kapcsolatos problémák: Ha a biztonsági mentési műveletek sikertelenek, ellenőrizze, hogy a felügyelt identitás megfelelően van-e hozzárendelve, és rendelkezik-e a szükséges engedélyekkel.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: