Sicurezza di rete per HSM Cloud di Azure

Garantire una sicurezza di rete affidabile è fondamentale quando si usa il modulo di protezione hardware cloud di Azure. Questo articolo fornisce indicazioni sulla configurazione dell'endpoint privato, la configurazione DNS, le porte necessarie, le regole del gruppo di sicurezza di rete (NSG) e il posizionamento delle macchine virtuali per impedire l'accesso non autorizzato e migliorare la sicurezza complessiva.

Endpoint privato

Per migliorare la sicurezza della distribuzione dell'HSM Cloud di Azure, usare subnet private ed endpoint privati. Consentono connessioni sicure all'HSM Cloud di Azure tramite un collegamento privato, per facilitare la connessione agli indirizzi IP privati dalla tua rete virtuale.

Un endpoint privato garantisce che il traffico tra la rete virtuale e il servizio di Azure attraversi la rete backbone Microsoft per la sicurezza e la comunicazione privata. Questo approccio proattivo rafforza il comportamento di sicurezza dell'applicazione riducendo al minimo l'esposizione a potenziali minacce da Internet.

Per istruzioni su come creare un endpoint privato per Azure Cloud HSM, vedere Distribuire Azure Cloud HSM tramite il portale di Azure o Distribuire Azure Cloud HSM tramite Azure PowerShell.

DNS privato

Quando si crea un endpoint privato per Azure Cloud HSM, il servizio assegna a ogni nodo HSM un nome host DNS privato nel formato seguente:

hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net

Per risolvere questi nomi host dalla rete virtuale, configurare una zona DNS privata per privatelink.cloudhsm.azure.net e collegarla alle reti virtuali che contengono le macchine virtuali dell'amministratore e dell'applicazione. Quando si crea un endpoint privato tramite il portale di Azure, è possibile abilitare l'integrazione automatica della zona DNS privata nella scheda DNS.

Annotazioni

La VM di amministrazione e le VM applicative devono essere in grado di risolvere il nome host dell'HSM. Se la risoluzione DNS fallisce, gli strumenti azcloudhsm_client e azcloudhsm_mgmt_util non possono connettersi al cluster HSM. Verifica la risoluzione DNS eseguendo nslookup <hsm-hostname> nella tua VM prima di eseguire gli strumenti HSM.

Porte richieste

Azure Cloud HSM usa le porte seguenti. Assicurati che le regole NSG e gli eventuali firewall consentano il traffico su queste porte dalle subnet della VM verso l'endpoint privato.

Porto Direzione Strumento Purpose
2224 In uscita (VM → HSM) azcloudhsm_client Front-end del client (TCP su TLS)
2225 In uscita (VM → HSM) azcloudhsm_client Front-end del client (TCP su TLS)
443 In uscita (VM → HSM) azcloudhsm_client Richieste client
444 In uscita (VM → HSM) azcloudhsm_mgmt_util Richieste di utilità di gestione
445 Internal Service Comunicazione da server a server (nodo HSM)

Regole NSG

Quando distribuisci le VM di amministrazione e applicazione in una subnet con un gruppo di sicurezza di rete (NSG), aggiungi regole in uscita per consentire il traffico verso l'endpoint privato HSM sulle porte richieste. Per esempio:

Priorità Name Source Destination Porto Protocol Action
100 Allow-HSM-Client VirtualNetwork <private-endpoint-IP> 2224, 2225 TCP Consenti
110 Allow-HSM-Mgmt VirtualNetwork <private-endpoint-IP> 443, 444 TCP Consenti

Sostituire <private-endpoint-IP> con l'indirizzo IP privato assegnato all'endpoint privato di Cloud HSM oppure utilizzare l'intervallo di indirizzi della subnet che contiene l'endpoint privato.

Posizionamento della macchina virtuale

Azure Cloud HSM usa un'architettura client-daemon. Il azcloudhsm_client daemon deve essere eseguito nella stessa macchina virtuale dell'applicazione, perché l'applicazione comunica con il daemon su un socket locale. Ciò significa:

  • Vm amministratore: usata per operazioni iniziali di configurazione del modulo di protezione hardware, gestione degli utenti, gestione delle chiavi e backup. Esegue azcloudhsm_mgmt_util e azcloudhsm_util.
  • Macchine virtuali dell'applicazione: eseguire i carichi di lavoro( ad esempio Apache, NGINX, SQL Server o app personalizzate) e devono eseguire ogni istanza di azcloudhsm_client.

Entrambi i tipi di VM devono trovarsi in una rete virtuale connessa all'endpoint privato di Cloud HSM.

Tip

È consigliabile inserire le risorse del modulo di protezione hardware cloud in un gruppo di risorse separato dalle macchine virtuali client e dalla rete virtuale. Ciò migliora la gestione e l'isolamento di sicurezza. Per i dettagli, vedi Distribuire Azure Cloud HSM usando il portale di Azure.

Connettività locale

Se i server o le applicazioni di firma sono eseguiti in locale, è possibile connetterli ad Azure Cloud HSM tramite Gateway VPN di Azure:

In entrambi i casi, l'host locale deve eseguire il azcloudhsm_client daemon e deve essere in grado di raggiungere gli indirizzi IP dell'endpoint privato del modulo di protezione hardware tramite il tunnel VPN.

Contenuti correlati

  • Last updated on