Guida introduttiva: Creare un HSM dedicato di Azure con Azure PowerShell

Importante

HSM dedicato di Azure è in fase di ritiro. Microsoft supporterà completamente i clienti HSM dedicati esistenti fino al 31 luglio 2028. Non vengono accettati nuovi onboarding dei clienti. Per informazioni dettagliate e azioni necessarie, vedere l'aggiornamento ufficiale di Azure.

Se si è un utente HSM dedicato di Azure, vedere Eseguire la migrazione da HSM dedicato di Azure a HSM gestito o Azure Cloud HSM. Azure Cloud HSM è ora disponibile globalmente ed è il successore di HSM Dedicato di Azure.

I nuovi clienti devono valutare ed eseguire l'onboarding in Azure Cloud HSM, Managed HSM o Azure Key Vault in base ai requisiti del carico di lavoro. Per indicazioni, vedere Come scegliere la soluzione di gestione delle chiavi di Azure appropriata.

Questo articolo descrive come creare un modulo HSM dedicato di Azure usando il modulo Az.DedicatedHsm di PowerShell.

Requisiti

  • Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.

Importante

Anche se il modulo Az.DedicatedHsm di PowerShell è in anteprima, è necessario installarlo separatamente usando il cmdlet Install-Module . Dopo che questo modulo di PowerShell diventa disponibile a livello generale, farà parte delle versioni future del modulo Az PowerShell e sarà disponibile per impostazione predefinita all'interno di Azure Cloud Shell.

Install-Module -Name Az.DedicatedHsm

  • Se sono presenti più sottoscrizioni di Azure, scegliere la sottoscrizione appropriata in cui devono essere fatturate le risorse. Selezionare una sottoscrizione specifica usando il cmdlet Set-AzContext.

    Set-AzContext -SubscriptionId aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e

  • I provider di risorse e i flag di funzionalità necessari sono registrati per la sottoscrizione. Registrare le AzureDedicatedHsm funzionalità e DedicatedHsmEnabled e quindi registrare il Microsoft.HardwareSecurityModules provider. Se la DedicatedHsmEnabled funzionalità non è registrata, i cmdlet HSM dedicati restituiscono un InvalidResourceType errore.

    Register-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm
Register-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName DedicatedHsmEnabled
Register-AzResourceProvider -ProviderNamespace Microsoft.HardwareSecurityModules

    La registrazione delle funzionalità può richiedere alcuni minuti. Verificare che entrambe le funzionalità visualizzino una RegistrationState di Registered prima di continuare:

    Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm
Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName DedicatedHsmEnabled

Creare un gruppo di risorse

Creare un gruppo di risorse di Azure usando il cmdlet New-AzResourceGroup . Un gruppo di risorse è un contenitore logico in cui le risorse di Azure vengono distribuite e gestite come gruppo.

Nell'esempio seguente viene creato un gruppo di risorse con il nome specificato e nella posizione specificata.

New-AzResourceGroup -Name myRG -Location westus

Creare le risorse di rete

Un modulo di protezione hardware dedicato viene inserito in una subnet nella rete virtuale e la rete virtuale deve avere un gateway ExpressRoute. Senza un gateway, l'operazione di creazione non riesce a causa di un errore durante la connessione del dispositivo alla rete virtuale.

  1. Creare una rete virtuale con tre subnet: una per le risorse di calcolo, una delegata a Microsoft.HardwareSecurityModules/dedicatedHSMs per HSM e la GatewaySubnet richiesta dal gateway ExpressRoute. Il nome della subnet del modulo di protezione hardware deve essere diverso dal nome della rete virtuale.

    $del = New-AzDelegation -Name dhsmDelegation `
  -ServiceName 'Microsoft.HardwareSecurityModules/dedicatedHSMs'

$compute = New-AzVirtualNetworkSubnetConfig -Name compute `
  -AddressPrefix 10.2.0.0/24
$hsmNet = New-AzVirtualNetworkSubnetConfig -Name hsmsubnet `
  -AddressPrefix 10.2.1.0/24 -Delegation $del
$gwNet = New-AzVirtualNetworkSubnetConfig -Name GatewaySubnet `
  -AddressPrefix 10.2.255.0/26

$vnetParams = @{
  Name              = 'myhsm-vnet'
  ResourceGroupName = 'myRG'
  Location          = 'westus'
  AddressPrefix     = '10.2.0.0/16'
  Subnet            = $compute, $hsmNet, $gwNet
}
New-AzVirtualNetwork @vnetParams

  2. Crea il gateway ExpressRoute con lo SKU ErGwScale. Azure assegna e gestisce automaticamente l'indirizzo IP pubblico del gateway, quindi non si crea una risorsa IP pubblica.

    $gwSubnet = Get-AzVirtualNetwork -Name myhsm-vnet -ResourceGroupName myRG |
  Get-AzVirtualNetworkSubnetConfig -Name GatewaySubnet
$ipc = New-AzVirtualNetworkGatewayIpConfig -Name default `
  -SubnetId $gwSubnet.Id

$gwParams = @{
  Name              = 'myergw'
  ResourceGroupName = 'myRG'
  Location          = 'westus'
  IpConfigurations  = $ipc
  GatewayType       = 'ExpressRoute'
  GatewaySku        = 'ErGwScale'
  MinScaleUnit      = 1
  MaxScaleUnit      = 1
}
New-AzVirtualNetworkGateway @gwParams -Force

    La distribuzione del gateway richiede circa 18 minuti.

Creare un modulo di protezione hardware dedicato

Per creare un modulo HSM dedicato, usare il cmdlet New-AzDedicatedHsm. L'esempio seguente crea un modulo di protezione hardware dedicato nella subnet HSM, con un indirizzo IP privato dall'interno dell'intervallo di indirizzi della subnet.

$Params = @{
  Name  = 'myHSM'
  ResourceGroupName = 'myRG'
  Location = 'westus'
  Sku = 'SafeNet Luna Network HSM A790'
  StampId = 'stamp1'
  SubnetId = '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myhsm-vnet/subnets/hsmsubnet'
  NetworkInterface = @{PrivateIPAddress = '10.2.1.4'}
}
New-AzDedicatedHsm @Params

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Il completamento dell'operazione di creazione dell'HSM richiede circa 8 minuti.

Ottieni un modulo di protezione hardware dedicato (HSM)

Per recuperare informazioni su un HSM dedicato esistente, utilizzare il cmdlet Get-AzDedicatedHsm. L'esempio seguente recupera il modulo HSM dedicato specificato.

Get-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Note

Il portale di Azure non elenca i moduli di protezione hardware dedicati nel gruppo di risorse. Usare Get-AzDedicatedHsm per confermare che esista un HSM.

Aggiornare un HSM dedicato

Per aggiornare un modulo di protezione hardware dedicato, usare il cmdlet Update-AzDedicatedHsm . L'esempio seguente aggiorna i tag sull'HSM dedicato.

Update-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG -Tag @{'key1' = '1'; 'key2' = 2; 'key3' = 3}

Name       Provisioning State SKU                           Location
----       ------------------ ---                           --------
myHSM      Succeeded          SafeNet Luna Network HSM A790 westus

Pulire le risorse

Attenzione

Zeroizzare ed eliminare il modulo di protezione hardware dedicato prima di eliminare il relativo gruppo di risorse. L'eliminazione diretta del gruppo di risorse non comporta l'eliminazione del modulo di protezione hardware. Inserisce il modulo HSM in uno stato orfano che continua a comportare addebiti. Per altre informazioni, vedere Come eliminare una risorsa HSM.

Rimuovere un HSM dedicato

Dopo aver zeroizzato l'HSM, usare il cmdlet Remove-AzDedicatedHsm per rimuoverlo. Nell'esempio seguente viene eliminato l'HSM (modulo di protezione hardware) dedicato specificato.

Remove-AzDedicatedHsm -Name myHSM -ResourceGroupName myRG

Tip

Se un'operazione di creazione non riesce, l'operazione di eliminazione può rimanere in uno stato Deleting per diverse ore. In caso affermativo, eseguire di nuovo il Remove-AzDedicatedHsm cmdlet per completare immediatamente l'eliminazione.

Eliminare il gruppo di risorse

Attenzione

Nell'esempio seguente vengono eliminati il gruppo di risorse specificato e tutte le risorse contenute al suo interno. Se le risorse esterne all'ambito di questo articolo esistono nel gruppo di risorse specificato, verranno eliminate anche.

Remove-AzResourceGroup -Name myRG

Passaggi successivi

Altre informazioni sul modulo di protezione hardware dedicato di Azure.

  • Ultimo aggiornamento: