Keamanan jaringan untuk Azure Cloud HSM

Memastikan keamanan jaringan yang kuat sangat penting saat Anda menggunakan Azure Cloud HSM. Artikel ini menyediakan panduan tentang konfigurasi titik akhir privat, penyiapan DNS, port yang diperlukan, aturan kelompok keamanan jaringan (NSG), dan penempatan VM untuk membantu Anda mencegah akses yang tidak sah dan meningkatkan keamanan keseluruhan.

Titik akhir privat

Untuk meningkatkan keamanan penyebaran Azure Cloud HSM Anda, gunakan subnet privat dan titik akhir privat. Mereka memungkinkan koneksi aman ke Azure Cloud HSM melalui tautan privat, untuk memfasilitasi konektivitas alamat IP privat dari jaringan virtual Anda.

Titik akhir privat memastikan bahwa lalu lintas antara jaringan virtual Anda dan layanan Azure melintasi jaringan backbone Microsoft untuk keamanan dan komunikasi privat. Pendekatan proaktif ini memperkuat postur keamanan aplikasi Anda dengan meminimalkan paparan potensi ancaman dari internet.

Untuk petunjuk tentang membuat titik akhir privat untuk Azure Cloud HSM, lihat Menyebarkan Azure Cloud HSM dengan menggunakan portal Azure atau Menyebarkan Azure Cloud HSM dengan menggunakan Azure PowerShell. Untuk panduan lengkap integrasi Private Link, termasuk manajemen dan verifikasi DNS, lihat Mengintegrasikan Azure Cloud HSM dengan Azure Private Link.

Private DNS

Saat Anda membuat titik akhir privat untuk Azure Cloud HSM, layanan menetapkan setiap node HSM nama host DNS privat dalam format berikut:

hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net

Untuk mengatasi nama host ini dari jaringan virtual Anda, konfigurasikan zona DNS privat untuk privatelink.cloudhsm.azure.net dan tautkan ke jaringan virtual yang berisi VM admin dan aplikasi Anda. Saat membuat titik akhir privat melalui portal Azure, Anda dapat mengaktifkan integrasi zona DNS privat otomatis pada tab DNS.

Note

VM admin dan VM aplikasi Anda harus dapat menyelesaikan nama host HSM. Jika resolusi DNS gagal, alat azcloudhsm_client dan azcloudhsm_mgmt_util tidak dapat terhubung ke cluster HSM. Verifikasi resolusi DNS dengan menjalankan nslookup <hsm-hostname> dari VM Anda sebelum Anda menjalankan alat HSM.

Port yang diperlukan

Azure Cloud HSM menggunakan port berikut. Pastikan aturan NSG dan firewall apa pun mengizinkan lalu lintas melalui port-port ini dari subnet VM Anda ke titik akhir privat.

Pelabuhan Arah Alat Kegunaan
2224 Keluar (VM → HSM) azcloudhsm_client Front-end klien (TCP melalui TLS)
2225 Keluar (VM → HSM) azcloudhsm_client Front-end klien (TCP melalui TLS)
443 Keluar (VM → HSM) azcloudhsm_client Permintaan dari klien
444 Keluar (VM → HSM) azcloudhsm_mgmt_util Permintaan utilitas manajemen
445 Internal Service Komunikasi server-ke-server (node HSM)

Aturan NSG

Saat Anda menyebarkan VM admin dan VM aplikasi di subnet dengan NSG, tambahkan aturan outbound untuk mengizinkan lalu lintas ke titik akhir privat HSM Anda melalui port yang diperlukan. Contohnya:

Prioritas Nama Source Destination Pelabuhan Protocol Tindakan
100 Izinkan-HSM-Client VirtualNetwork <private-endpoint-IP> 2224, 2225 PKT Allow
110 Izinkan-HSM-Mgmt VirtualNetwork <private-endpoint-IP> 443, 444 PKT Allow

Ganti <private-endpoint-IP> dengan alamat IP privat yang ditetapkan ke titik akhir privat Cloud HSM Anda, atau gunakan rentang alamat subnet yang berisi titik akhir privat.

Penempatan VM

Azure Cloud HSM menggunakan arsitektur client-daemon. azcloudhsm_client Daemon harus berjalan pada VM yang sama dengan aplikasi Anda, karena aplikasi berkomunikasi dengan daemon melalui soket lokal. Ini berarti:

  • Admin VM: digunakan untuk penyiapan HSM awal, manajemen pengguna, manajemen kunci, dan operasi pencadangan. Berjalan pada azcloudhsm_mgmt_util dan azcloudhsm_util.
  • VM aplikasi: menjalankan beban kerja Anda (misalnya, Apache, NGINX, SQL Server, atau aplikasi kustom) dan masing-masing harus menjalankan instans azcloudhsm_client mereka sendiri.

Kedua jenis VM harus berada di jaringan virtual yang memiliki konektivitas ke titik akhir privat Cloud HSM.

Tip

Kami menyarankan agar Anda menempatkan sumber daya Cloud HSM dalam grup sumber daya terpisah dari VM klien dan jaringan virtual. Ini meningkatkan isolasi manajemen dan keamanan. Untuk detailnya, lihat Menyebarkan Azure Cloud HSM dengan menggunakan portal Azure.

Konektivitas lokal

Jika server atau aplikasi penandatanganan Anda berjalan secara lokal, Anda dapat menghubungkannya ke Azure Cloud HSM dengan menggunakan Azure VPN Gateway:

Dalam kedua kasus, host lokal harus menjalankan azcloudhsm_client daemon dan harus dapat mencapai alamat IP titik akhir privat HSM melalui terowongan VPN.

Konten terkait

  • Terakhir diperbarui pada