Mulai cepat: Membuat Azure Payment HSM v2

Azure Payment HSM v2 adalah layanan modul keamanan perangkat keras (HSM) pembayaran penyewa tunggal yang sangat tersedia untuk pemrosesan pembayaran, penerbitan kredensial, pemrosesan PIN, manajemen kunci, dan perlindungan data autentikasi. Azure Payment HSM v2 membantu penyedia layanan dan lembaga keuangan memodernisasi sistem pembayaran mereka dan mengadopsi cloud publik. Untuk informasi selengkapnya, lihat Apa itu Azure Payment HSM v2?

Panduan mulai cepat ini menjelaskan cara menyiapkan dan menerapkan kluster Azure Payment HSM v2 di dalam jaringan virtual privat Anda.

Prasyarat

Menyiapkan lingkungan Anda

  • Gunakan Azure Cloud Shell atau instal Azure PowerShell. Jika Anda menggunakan Azure PowerShell secara lokal, masuk ke Azure.
  • Instal OpenSSL untuk membuat sertifikat.
  • Gunakan identitas yang memiliki izin untuk membuat kelompok sumber daya, jaringan virtual, titik akhir privat, zona sistem nama domain (DNS) privat, dan sumber daya Payment HSM v2. Identitas juga memerlukan izin untuk mendaftarkan fitur langganan Azure.
  • Selama masa pratinjau, terapkan HSM Pembayaran v2 hanya di wilayah AS Barat atau Eropa Barat.

Membuat akun Azure dan Utimaco

Sebelum mulai menggunakan Azure Payment HSM v2, pastikan organisasi Anda memiliki akun Azure dan langganan yang aktif, serta akun Utimaco Support Portal yang terdaftar. Anda memerlukan akun ini untuk memprovisikan sumber daya, mengakses perangkat lunak dan dokumentasi, dan menerima dukungan onboarding.

Akun Azure

Anda harus memiliki akun Azure yang aktif dan langganan Azure sebelum mulai menggunakan Azure Payment HSM v2. Jika Anda tidak memiliki akun Azure, buat akun gratis sebelum memulai.

Akun Utimaco

Proses onboarding Azure Payment HSM v2 memerlukan akun Utimaco yang aktif dan hak akses sebelum provisioning. Selama pratinjau publik, setelah Microsoft menyetujui permintaan onboarding Anda, Microsoft menghubungkan Anda dengan tim Azure Utimaco. Tim bekerja langsung dengan Anda untuk menyelesaikan onboarding. Permintaan akun Utimaco baru dapat memakan waktu hingga 48 jam untuk diproses dan diaktifkan. Jika Anda tidak memiliki akun Utimaco, lihat Membuat akun di portal Utimaco untuk mendapatkan petunjuk.

Menerima dan memverifikasi paket sambutan orientasi

Utimaco menyediakan paket selamat datang yang diperlukan untuk onboarding Azure Payment HSM v2. Paket ini mencakup aplikasi Asisten Konfigurasi Aman (SCA), C3 Key Loading Device (KLD), kartu pintar, dan bahan onboarding terkait. Verifikasi tanda terima semua konten paket sebelum Anda melanjutkan aktivitas onboarding.

Tindakan pelanggan

  1. Konfirmasi penerimaan paket sambutan orientasi dan semua materi yang disertakan.
  2. Verifikasi pengiriman aplikasi SCA, C3 KLD, kartu pintar, dan dokumentasi pendukung.
  3. Kirim pengakuan tanda terima paket ke Microsoft dan Utimaco sebelum Anda melanjutkan ke langkah onboarding berikutnya.

Membangun kepercayaan klien

Untuk membangun kepercayaan bersama antara lingkungan Anda dan Azure Payment HSM v2, konfigurasikan sertifikat otoritas sertifikasi tepercaya (CA) untuk antarmuka manajemen dan antarmuka aplikasi. Gunakan sertifikat ini untuk autentikasi klien dan untuk membangun konektivitas yang aman dan saling diautentikasi untuk Azure Pembayaran HSM v2. Buat sertifikat CA root yang swatanda, dan konfirmasikan bahwa setiap sertifikat menggunakan kunci publik kurva eliptik (EC) pada kurva NIST P-256. Gunakan contoh berikut untuk menghasilkan sertifikat.

Untuk model kepercayaan di balik sertifikat ini, termasuk manajemen terpisah dan jangkar kepercayaan aplikasi dan mengapa layanan hanya mendukung CA root P-256 yang ditandatangani sendiri, lihat Autentikasi dan kontrol akses untuk Azure Pembayaran HSM v2.

Membuat sertifikat autentikasi CA

Buat pasangan kunci kurva elips dan buat sertifikat CA yang ditandatangani sendiri dengan menggunakan perintah OpenSSL berikut.

Penting

Gunakan CA akar yang ditandatangani sendiri untuk setiap sertifikat penerbit tepercaya. Sertifikat harus menggunakan kunci umum EC pada kurva NIST P-256 (prime256v1). Azure Payment HSM v2 tidak mendukung sertifikat CA perantara atau sertifikat yang menggunakan algoritma kriptografi atau jenis kunci lain.

  • CA tepercaya untuk port manajemen berada di certs-mgmt/.
  • CA tepercaya untuk port aplikasi ditempatkan di certs/.

Membuat kunci CA dan sertifikat yang ditandatangani sendiri

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Daftarkan fitur AllowPrivateEndpoints

Azure Payment HSM v2 memerlukan titik akhir privat. Selama pratinjau publik, Azure tidak secara otomatis mendaftarkan kemampuan ini. Daftarkan fitur AllowPrivateEndpoints untuk penyedia sumber daya Microsoft.Network pada setiap langganan tempat Anda menerapkan layanan. Jika Anda tidak mendaftarkan fitur ini, langkah-langkah konfigurasi jaringan di bagian selanjutnya dalam panduan memulai cepat ini akan gagal.

Penting

Tim Azure Payment HSM v2 mendaftarkan sumber daya Payment HSM v2 Anda. Daftarkan sendiri fitur AllowPrivateEndpoints pada setiap langganan tempat Anda menerapkan layanan tersebut. Diperlukan beberapa menit untuk menyelesaikan proses. Tunggu hingga fitur memperlihatkan status Terdaftar sebelum Anda terus Membuat jaringan virtual klien dan zona DNS privat.

Atur konteks langganan Anda, daftarkan fitur, lalu verifikasi pendaftaran.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Sebarkan Azure Payment HSM v2

Membuat instans HSM Pembayaran v2

Contoh berikut membuat grup sumber daya dan instans Pembayaran HSM v2. Jalankan contoh dari direktori yang berisi management-trusted-ca.pem dan application-trusted-ca.pem. Atur konteks langganan dan perbarui lokasi, nama sumber daya, dan nama grup sumber daya agar sesuai dengan lingkungan Anda.

Penting

Pilih nama HSM yang unik. Jika Anda menentukan nama HSM yang sudah ada di wilayah yang dipilih, deployment Anda akan gagal.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Sebarkan sumber daya Payment HSM v2 Anda dalam grup sumber daya terpisah dari jaringan virtual klien terkait dan sumber daya komputer virtual (VM). Grup sumber daya terpisah menyediakan pengelolaan dan isolasi keamanan yang lebih baik.

Membuat jaringan virtual klien dan zona DNS privat

Sebarkan jaringan virtual klien dan VM Anda di wilayah yang sama dengan sumber daya HSM Anda. Perbarui grup sumber daya dan nama jaringan virtual agar sesuai dengan lingkungan Anda. Contoh berikut membuat grup sumber daya, jaringan virtual dengan manajemen terpisah dan subnet aplikasi , dan zona DNS privat. Contoh kemudian menautkan zona ke jaringan virtual.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Buat titik akhir privat untuk Azure Payment HSM v2

Azure Payment HSM v2 mengekspos dua ID grup tautan privat: management pada port 7005 dan application pada port 2200. Buat titik akhir privat terpisah untuk setiap ID grup dengan menggunakan subnet terkait dari Membuat jaringan virtual klien dan zona DNS privat. Buat kedua endpoint untuk akses administratif penuh dan akses aplikasi pembayaran. Jika Anda hanya memerlukan akses administratif, seperti untuk Utimaco Key Loading Device (KLD), buat hanya titik akhir manajemen.

Pertama, buat kedua titik akhir privat:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Kemudian, sambungkan kedua endpoint ke zona DNS privat agar nama host dapat diresolusikan melalui jaringan virtual Anda:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Tip

Endpoint privat menghubungkan jaringan virtual Anda ke Azure Payment HSM v2 melalui Azure Private Link. Lalu lintas antara jaringan virtual Anda dan layanan tetap berada di jaringan Microsoft. Konektivitas privat ini mengurangi keterpaparan ke internet publik, sebagaimana dijelaskan dalam Keamanan jaringan untuk Azure Payment HSM v2.

Menyambungkan ke Azure Payment HSM v2

Setelah Anda menyediakan instans Payment HSM v2 dan menetapkan endpoint privat, siapkan konektivitas ke antarmuka manajemen dan aplikasi masing-masing pada cluster Azure Payment HSM v2. Azure Private Link menyediakan konektivitas dari jaringan virtual. Untuk menyambungkan dari jaringan lokal, termasuk Utimaco Key Loading Device (KLD), gunakan jaringan privat virtual situs-ke-situs (VPN) atau koneksi hibrid lain yang disetujui. Stasiun kerja individual dapat menggunakan penerusan port VPN titik-ke-situs atau Secure Shell (SSH) melalui VM Azure.

Dokumen Instruksi Operasional APM di LS2 di portal Utimaco menyediakan prosedur penginstalan, konfigurasi, validasi, dan pemecahan masalah terperinci. Akses ke dokumen memerlukan akun dan pendaftaran portal Utimaco aktif.

Penting

Untuk menjangkau antarmuka manajemen dari luar jaringan virtual Azure, sambungkan melalui VPN atau terowongan SSH yang disetujui. Menyediakan konektivitas jaringan ke port manajemen (7005) dan port aplikasi (2200) dari stasiun kerja manajemen resmi dan aplikasi pembayaran.

Tindakan pelanggan

  1. Sebarkan atau gunakan VM Azure yang ada dalam jaringan virtual Azure untuk mengakses lingkungan Azure Payment HSM v2.
  2. Sambungkan ke antarmuka manajemen HSM dengan menggunakan utilitas Utimaco Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD), dan administrator atau kartu pintar cadangan.
  3. Buat akses ke port manajemen HSM melalui metode konektivitas yang disetujui, seperti penerusan port SSH atau VPN.
  4. Verifikasi konektivitas yang berhasil ke antarmuka manajemen HSM dan selesaikan tugas administrasi HSM awal.
  5. Sambungkan ke antarmuka aplikasi HSM dan verifikasi konektivitas aplikasi dengan menggunakan aplikasi pembayaran dan transaksi pengujian yang ada.

Informasi port manajemen dan port aplikasi

Port manajemen: 7005 - Operasi administratif dan manajemen.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, di mana <node-number> adalah 1, 2, atau 3

Port aplikasi: 2200 - Bidang data aplikasi pembayaran untuk perintah Atalla dan operasi kriptografi.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, di mana <node-number> adalah 1, 2, atau 3

Menyebarkan komputer virtual Azure dalam jaringan virtual Azure

Gunakan Mulai Cepat: Buat VM Linux di portal Azure untuk menyebarkan VM Azure yang menjalankan Ubuntu Server 22.04 LTS. Selama konfigurasi jaringan, pilih jaringan virtual klien dan subnet manajemen yang Anda buat sebelumnya.

Konfigurasikan VPN atau penerusan porta SSH untuk terhubung ke Payment HSM v2 Anda

Sambungkan ke antarmuka manajemen Azure Payment HSM v2 Anda dengan menggunakan salah satu metode yang disetujui berikut.

VPN situs-ke-situs yang terhubung ke jaringan virtual Azure yang menghosting titik akhir manajemen:

VPN point-to-site yang terhubung ke jaringan virtual Azure yang menjadi host bagi titik akhir manajemen:

Penerusan port lokal SSH melalui VM Azure (jump box) yang disebarkan dalam jaringan virtual Azure Anda:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Contohnya:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Konten terkait

  • Terakhir diperbarui pada