Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Important
HSM dedicato di Azure è in fase di ritiro. Microsoft supporterà completamente i clienti HSM dedicati esistenti fino al 31 luglio 2028. Non vengono accettati nuovi onboarding dei clienti. Per informazioni dettagliate e azioni necessarie, vedere l'aggiornamento ufficiale di Azure.
Se si è un utente HSM dedicato di Azure, vedere Eseguire la migrazione da HSM dedicato di Azure a Managed HSM o Azure Cloud HSM. Azure Cloud HSM è ora disponibile globalmente ed è il successore di HSM Dedicato di Azure.
I nuovi clienti devono valutare ed eseguire l'onboarding in Azure Cloud HSM, Managed HSM o Azure Key Vault in base ai requisiti del carico di lavoro. Per indicazioni, vedere Come scegliere la soluzione di gestione delle chiavi di Azure appropriata.
HSM dedicato di Azure fornisce un dispositivo fisico per l'uso esclusivo dei clienti, con controllo amministrativo completo e responsabilità di gestione completa. Poiché il servizio fornisce hardware fisico, Microsoft controlla come alloca tali dispositivi per garantire una gestione efficace della capacità. Di conseguenza, all'interno di una sottoscrizione Azure, il servizio HSM dedicato non è normalmente visibile per il provisioning delle risorse. Per accedere al servizio HSM dedicato, è necessario contattare l'account executive Microsoft per richiedere la registrazione al servizio HSM dedicato. È possibile effettuare il provisioning del servizio solo dopo il completamento di questo processo.
Questa esercitazione illustra un tipico processo di provisioning in cui:
- Un cliente ha già una rete virtuale
- Hanno una macchina virtuale
- È necessario aggiungere risorse HSM in tale ambiente esistente.
Un'architettura di distribuzione tipica a disponibilità elevata e multi-area può essere simile alla seguente:
Questa esercitazione è incentrata su una coppia di moduli di protezione hardware e sul gateway ExpressRoute richiesto (vedere Subnet 1 precedente) integrato in una rete virtuale esistente (vedere VNET 1 sopra). Tutte le altre risorse sono risorse standard Azure. Lo stesso processo di integrazione può essere usato per gli HSM nella subnet 4 sulla VNET 3 sopra.
Prerequisiti
HSM dedicato di Azure non è attualmente disponibile nel portale di Azure. Tutte le interazioni con il servizio devono essere tramite la riga di comando o tramite PowerShell. Questa esercitazione usa l'interfaccia della riga di comando nella Azure Cloud Shell. Se non si ha familiarità con il interfaccia della riga di comando di Azure, seguire le istruzioni introduttive qui: interfaccia della riga di comando di Azure 2.0 Introduzione.
Ipotesi:
- Devi avere un Microsoft Account Manager assegnato per qualificarti per l'onboarding e l'uso di HSM dedicato di Azure.
- Hai eseguito il processo di registrazione di HSM dedicato di Azure e sei stato approvato per l'uso del servizio. In caso contrario, contattare il rappresentante dell’account Microsoft per informazioni dettagliate.
- Hai creato un gruppo di risorse per queste risorse e le nuove risorse distribuite in questa esercitazione verranno aggiunte a tale gruppo.
- È già stata creata la rete virtuale, la subnet e le macchine virtuali necessarie in base al diagramma e ora si vogliono integrare 2 moduli di protezione hardware in tale ambiente.
Tutte le istruzioni contenute in questo articolo presuppongono che si trovi nel portale di Azure e che il Cloud Shell sia aperto (selezionare ">_" in alto a destra nel portale).
Effettuare il provisioning di un modulo di protezione hardware dedicato
Il provisioning di HSM e l'integrazione in una rete virtuale esistente tramite ExpressRoute gateway vengono convalidati tramite ssh. Questa convalida consente di garantire la raggiungibilità e la disponibilità di base del dispositivo HSM per eventuali ulteriori attività di configurazione.
Convalidare la registrazione della funzionalità
Qualsiasi attività di provisioning richiede che il servizio HSM dedicato sia registrato per la propria sottoscrizione. Per verificarlo, eseguire i comandi seguenti nel portale Azure Cloud Shell.
az feature show \
--namespace Microsoft.HardwareSecurityModules \
--name AzureDedicatedHSM
I comandi devono restituire lo stato "Registrato". Se i comandi non restituiscono "Registered", è necessario registrarsi per questo servizio contattando il rappresentante dell'account Microsoft.
Creare risorse HSM
Prima di creare risorse HSM, è necessario soddisfare alcuni prerequisiti delle risorse. È necessario avere una rete virtuale con intervalli di subnet per il calcolo, i moduli di protezione hardware e il gateway. I comandi seguenti fungono da esempio di ciò che creerebbe una rete virtuale di questo tipo.
az network vnet create \
--name myHSM-vnet \
--resource-group myRG \
--address-prefix 10.2.0.0/16 \
--subnet-name compute \
--subnet-prefix 10.2.0.0/24
az network vnet subnet create \
--vnet-name myHSM-vnet \
--resource-group myRG \
--name hsmsubnet \
--address-prefixes 10.2.1.0/24 \
--delegations Microsoft.HardwareSecurityModules/dedicatedHSMs
az network vnet subnet create \
--vnet-name myHSM-vnet \
--resource-group myRG \
--name GatewaySubnet \
--address-prefixes 10.2.255.0/26
Note
La configurazione più importante per la rete virtuale è che la subnet per il dispositivo HSM deve avere deleghe impostate su "Microsoft.HardwareSecurityModules/dedicatedHSMs". Il provisioning del modulo di protezione hardware non funziona senza questa opzione impostata.
La rete virtuale richiede anche un gateway ExpressRoute. Senza un gateway, l'operazione di creazione del modulo di protezione hardware ha esito negativo e viene visualizzato un errore durante la connessione del dispositivo alla rete virtuale. Creare il gateway usando il comando az network vnet-gateway create e la SKU ErGwScale. Azure assegna e gestisce automaticamente l'indirizzo IP pubblico del gateway, quindi non creare una risorsa IP pubblica o passare il --public-ip-addresses parametro.
az network vnet-gateway create \
--resource-group myRG \
--name myergw \
--vnet myHSM-vnet \
--gateway-type ExpressRoute \
--sku ErGwScale \
--min-scale-unit 1 \
--max-scale-unit 1
La distribuzione del gateway richiede circa 17 minuti.
Dopo aver configurato la rete, usare questi comandi interfaccia della riga di comando di Azure per effettuare il provisioning dei tuoi HSM.
Usare il comando az dedicated-hsm create per effettuare il provisioning del primo modulo di protezione hardware. L'HSM si chiama hsm1. Sostituire la sottoscrizione:
az dedicated-hsm create --location westus --name hsm1 --resource-group myRG \ --stamp-id stamp1 --sku "SafeNet Luna Network HSM A790" \ --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \ --network-interfaces private-ip-address=10.2.1.4Il completamento dell'operazione di creazione del modulo di protezione hardware richiede circa 7 minuti.
Per visualizzare un modulo di protezione hardware corrente, eseguire il comando az dedicated-hsm show :
az dedicated-hsm show --resource-group myRG --name hsm1Effettuare il provisioning del secondo modulo di protezione hardware usando questo comando:
az dedicated-hsm create --location westus --name hsm2 --resource-group myRG \ --stamp-id stamp2 --sku "SafeNet Luna Network HSM A790" \ --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \ --network-interfaces private-ip-address=10.2.1.5Eseguire il comando az dedicated-hsm list per visualizzare i dettagli sugli HSM correnti:
az dedicated-hsm list --resource-group myRG
Esistono altri comandi che potrebbero essere utili. Usare il comando az dedicated-hsm update per aggiornare un modulo di protezione hardware:
az dedicated-hsm update --resource-group myRG --name hsm1
Per eliminare un HSM, usare il comando az dedicated-hsm delete:
az dedicated-hsm delete --resource-group myRG --name hsm1
Verificare la distribuzione
Per verificare che il provisioning dei dispositivi sia stato effettuato e per visualizzare gli attributi del dispositivo, eseguire il set di comandi seguente. Verificare che il gruppo di risorse sia impostato in modo appropriato e che il nome della risorsa sia esattamente come nel file dei parametri.
subid=$(az account show --query id --output tsv)
az resource show \
--ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM1
az resource show \
--ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM2
L'output è simile all'output seguente:
{
"id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSMl",
"identity": null,
"kind": null,
"location": "westus",
"managedBy": null,
"name": "HSM1",
"plan": null,
"properties": {
"networkProfile": {
"networkInterfaces": [
{
"id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/networkInterfaces/HSMl_HSMnic", "privatelpAddress": "10.0.2.5",
"resourceGroup": "HSM-RG"
}
L
"subnet": {
"id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/virtualNetworks/demo-vnet/subnets/hsmsubnet", "resourceGroup": "HSM-RG"
}
},
"provisioningState": "Succeeded",
"stampld": "stampl",
"statusMessage": "The Dedicated HSM device is provisioned successfully and ready to use."
},
"resourceGroup": "HSM-RG",
"sku": {
"capacity": null,
"family": null,
"model": null,
"name": "SafeNet Luna Network HSM A790",
"size": null,
"tier": null
},
"tags": {
"Environment": "prod",
"resourceType": "Hsm"
},
"type": "Microsoft.HardwareSecurityModules/dedicatedHSMs"
}
È anche possibile visualizzare le risorse usando Azure resource explorer. In Esplora risorse espandere "sottoscrizioni", la sottoscrizione specifica per HSM dedicato, "gruppi di risorse" e quindi il gruppo di risorse usato e infine selezionare l'elemento "risorse".
Testare la distribuzione
Il test della distribuzione prevede la connessione a una macchina virtuale che può accedere a uno o più moduli HSM e quindi la connessione diretta al dispositivo HSMs. Queste azioni confermano che l'HSM è raggiungibile. Lo strumento SSH viene usato per connettersi alla macchina virtuale. Il comando è simile al seguente, ma con il nome amministratore e il nome DNS specificati nel parametro .
ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com
È anche possibile usare l'indirizzo IP della macchina virtuale al posto del nome DNS. Se il comando ha esito positivo, richiederà una password e sarà necessario immetterla. Dopo aver eseguito l'accesso alla macchina virtuale, è possibile accedere all'HSM usando l'indirizzo IP privato disponibile nel portale per la risorsa dell'interfaccia di rete associata all'HSM.
Note
Si noti la casella di controllo "Mostra tipi nascosti", che quando selezionata visualizzerà le risorse HSM.
Nello screenshot, facendo clic su "HSM1_HSMnic" o "HSM2_HSMnic" verrà visualizzato l'indirizzo IP privato appropriato. In caso contrario, il az resource show comando è un modo per identificare l'indirizzo IP corretto.
Quando si dispone dell'indirizzo IP corretto, eseguire il comando seguente sostituendo quell'indirizzo:
ssh tenantadmin@10.0.2.4
In caso di esito positivo, viene richiesta una password. La password predefinita è PASSWORD e il modulo di protezione hardware chiederà prima di tutto di modificare la password, quindi impostare una password complessa e usare qualsiasi meccanismo che la tua organizzazione preferisce per archiviare la password e prevenirne la perdita.
Important
Se si perde questa password, il modulo di protezione hardware deve essere reimpostato e ciò significa perdere le chiavi.
Quando si è connessi al modulo di protezione hardware tramite ssh, eseguire il comando seguente per assicurarsi che il modulo di protezione hardware sia operativo.
hsm show
L'output dovrebbe essere simile al seguente:
A questo punto, sono state allocate tutte le risorse per una distribuzione a due HSM ad alta disponibilità ed è stato convalidato l'accesso e lo stato operativo. Qualsiasi ulteriore configurazione o test comporta più lavoro con il dispositivo HSM stesso. Per questo motivo, è necessario seguire le istruzioni nella Guida all'amministrazione di Thales Luna 7 HSM capitolo 7 per inizializzare il modulo di protezione hardware e creare partizioni. Tutta la documentazione e il software sono scaricabili direttamente da Thales dopo aver effettuato la registrazione nel portale di supporto tecnico di Thales e aver acquisito un ID cliente. Scarica il client software versione 7.2 per ottenere tutti i componenti necessari.
Eliminare o pulire le risorse
Se il dispositivo HSM non è più necessario, può essere eliminato come risorsa e tornare a far parte del pool libero. L'ovvia preoccupazione quando si esegue questa operazione riguarda gli eventuali dati sensibili dei clienti presenti sul dispositivo. Il modo migliore per "azzerare" un dispositivo consiste nello sbagliare la password dell'amministratore del modulo HSM per tre volte. (Non l'amministratore dell'appliance, ma il vero amministratore HSM). Come misura di sicurezza per proteggere il materiale della chiave, il dispositivo non può essere eliminato come risorsa Azure fino a quando non è nello stato zeroizzato.
Note
In caso di problemi con la configurazione del dispositivo Thales, contattare il supporto tecnico di Thales.
Se hai finito di usare tutte le risorse nel gruppo di risorse, è possibile rimuoverle con il comando seguente:
az group delete \
--resource-group myRG \
--name HSMdeploy \
--verbose
Passaggi successivi
Dopo aver completato i passaggi dell'esercitazione, viene effettuato il provisioning delle risorse HSM dedicate e si dispone di una rete virtuale con moduli di protezione hardware necessari e di altri componenti di rete per abilitare la comunicazione con il modulo di protezione hardware. Si è ora in condizione di completare la distribuzione con le altre risorse necessarie per l'architettura di distribuzione preferita. Per altre informazioni su come pianificare l'implementazione, vedere la documentazione Concetti. È consigliabile una configurazione con due HSM in una regione primaria che garantiscono la disponibilità a livello di rack e due HSM in una regione secondaria che garantiscono la disponibilità a livello di regione.