Azure Cloud HSM を使用する場合は、堅牢なネットワーク セキュリティを確保することが重要です。 この記事では、未承認のアクセスを防ぎ、全体的なセキュリティを強化するために役立つ、プライベート エンドポイントの構成、DNS のセットアップ、必要なポート、ネットワーク セキュリティ グループ (NSG) ルール、VM の配置に関するガイダンスを提供します。
プライベート エンドポイント
Azure Cloud HSM デプロイのセキュリティを強化するには、プライベート サブネットとプライベート エンドポイントを使用します。 仮想ネットワークからのプライベート IP アドレス接続を容易にするために、プライベート リンクを介して Azure Cloud HSM へのセキュリティで保護された接続を有効にします。
プライベート エンドポイントを使用すると、仮想ネットワークと Azure サービス間のトラフィックがセキュリティとプライベート通信のために Microsoft バックボーン ネットワークを通過します。 このプロアクティブなアプローチでは、インターネットからの潜在的な脅威への露出を最小限に抑えることで、アプリケーションのセキュリティ体制が強化されます。
Azure Cloud HSM のプライベート エンドポイントを作成する手順については、Azure ポータルを使用した Azure Cloud HSM のデプロイまたは Azure PowerShell を使用した Azure Cloud HSM のデプロイに関する記事を参照してください。
プライベート DNS
Azure Cloud HSM のプライベート エンドポイントを作成すると、サービスは各 HSM ノードに次の形式でプライベート DNS ホスト名を割り当てます。
hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net
仮想ネットワークからこれらのホスト名を解決するには、 privatelink.cloudhsm.azure.net のプライベート DNS ゾーンを構成し、管理者とアプリケーションの VM を含む仮想ネットワークにリンクします。 Azure ポータルを使用してプライベート エンドポイントを作成する場合は、[DNS] タブでプライベート DNS ゾーンの自動統合を有効にすることができます。
Note
管理者 VM とアプリケーション VM は、HSM ホスト名を解決できる必要があります。 DNS 解決に失敗した場合、 azcloudhsm_client ツールと azcloudhsm_mgmt_util ツールは HSM クラスターに接続できません。 HSM ツールを実行する前に、VM から nslookup <hsm-hostname> を実行して DNS 解決を確認します。
必要なポート
Azure Cloud HSM では、次のポートが使用されます。 NSG ルールとファイアウォールで、VM サブネットからプライベート エンドポイントへのこれらのポートのトラフィックが許可されていることを確認します。
| Port | 方向 | ツール | Purpose |
|---|---|---|---|
| 2224 | 送信 (VM → HSM) | azcloudhsm_client |
クライアント フロントエンド (TLS 経由の TCP) |
| 2225 | アウトバウンド (VM → HSM) | azcloudhsm_client |
クライアント フロントエンド (TLS 経由の TCP) |
| 443 | 送信 (VM → HSM) | azcloudhsm_client |
クライアントの要求 |
| 444 | 送信 (VM → HSM) | azcloudhsm_mgmt_util |
管理ユーティリティの要求 |
| 445 | Internal | Service | サーバー間 (HSM ノード) 通信 |
NSG ルール
NSG を使用してサブネットに管理者 VM とアプリケーション VM をデプロイする場合は、必要なポートで HSM プライベート エンドポイントへのトラフィックを許可する送信規則を追加します。 例えば次が挙げられます。
| 優先度 | Name | Source | 行き先 | Port | プロトコル | アクション |
|---|---|---|---|---|---|---|
| 100 | 許可-HSM-クライアント | 仮想ネットワーク | <private-endpoint-IP> |
2224, 2225 | TCP | 許可する |
| 110 | 許可-HSM-Mgmt | 仮想ネットワーク | <private-endpoint-IP> |
443, 444 | TCP | 許可する |
<private-endpoint-IP>を Cloud HSM プライベート エンドポイントに割り当てられたプライベート IP アドレスに置き換えるか、プライベート エンドポイントを含むサブネット アドレス範囲を使用します。
VM の配置
Azure Cloud HSM では、クライアント デーモン アーキテクチャが使用されます。
azcloudhsm_client デーモンは、アプリケーションとローカル ソケットを介してデーモンと通信するため、アプリケーションと同じ VM 上で実行する必要があります。 これは、以下のようなことを意味します。
-
管理 VM: HSM の初期セットアップ、ユーザー管理、キー管理、バックアップ操作に使用されます。
azcloudhsm_mgmt_utilとazcloudhsm_utilを実行します。 -
アプリケーション VM: ワークロード (Apache、NGINX、SQL Server、カスタム アプリなど) を実行し、それぞれ独自の
azcloudhsm_clientインスタンスを実行する必要があります。
どちらの VM の種類も、Cloud HSM プライベート エンドポイントに接続されている仮想ネットワーク内に存在する必要があります。
Tip
Cloud HSM リソースは、クライアント VM や仮想ネットワークとは別のリソース グループに配置することをお勧めします。 これにより、管理とセキュリティの分離が向上します。 詳細については、Azure ポータルを使用した Azure Cloud HSM のデプロイに関するページを参照してください。
オンプレミスの接続
署名サーバーまたはアプリケーションがオンプレミスで実行されている場合は、Azure VPN Gatewayを使用して Azure Cloud HSM に接続できます。
- サイト間 VPN: 永続的なオンプレミス接続に推奨されます。 セットアップ手順については、「チュートリアル: Azure ポータルでサイト間 VPN 接続を作成する」を参照してください。
- ポイント対サイト VPN: 個々のワークステーションまたは小規模な展開に適しています。
どちらの場合も、オンプレミスホストは azcloudhsm_client デーモンを実行し、VPN トンネル経由で HSM プライベート エンドポイント IP アドレスに到達できる必要があります。