Quickstart: Een Azure Payment HSM v2 maken

Azure Payment HSM v2 is een maximaal beschikbare HSM-service (Single-Tenant Payment Hardware Security Module) voor betalingsverwerking, referentieuitgifte, pincodeverwerking, sleutelbeheer en verificatiegegevensbescherming. Azure Payment HSM v2 helpt serviceproviders en financiële instellingen hun betalingssystemen te moderniseren en de openbare cloud te gebruiken. Zie Wat is Azure Payment HSM v2? voor meer informatie.

In deze quickstart wordt beschreven hoe u een Azure Payment HSM v2-cluster in uw virtuele privénetwerk kunt onboarden en implementeren.

Prerequisites

Uw omgeving voorbereiden

  • Gebruik Azure Cloud Shell of installeer Azure PowerShell. Als u Azure PowerShell lokaal gebruikt, meldt u zich aan bij Azure.
  • Installeer OpenSSL om het certificaat te maken.
  • Gebruik een identiteit die gemachtigd is om resourcegroepen, virtuele netwerken, privé-eindpunten, DNS-zones (Private Domain Name System) en Payment HSM v2-resources te maken. De identiteit moet ook zijn gemachtigd om Azure abonnementsfuncties te registreren.
  • Implementeer tijdens de previewperiode Payment HSM v2 alleen in de regio West US of West Europe.

Azure- en Utimaco-accounts instellen

Voordat u onboarding uitvoert Azure Payment HSM v2, controleert u of uw organisatie een actief Azure-account en -abonnement heeft, evenals een geregistreerd Utimaco-ondersteuningsportalaccount. U hebt deze accounts nodig om resources in te richten, toegang te krijgen tot software en documentatie en ondersteuning voor onboarding te ontvangen.

Azure-account

U moet een actief Azure-account en een Azure-abonnement hebben voordat u Azure Payment HSM v2 onboardt. Als u nog geen Azure account hebt, maakt u een gratis account voordat u begint.

Utimaco-account

Voor onboarding van Azure Payment HSM v2 zijn een actief Utimaco-account en een machtiging vereist voordat provisioning plaatsvindt. Nadat Microsoft tijdens de openbare preview uw onboardingaanvraag goedkeurt, Microsoft u verbindt met het Utimaco Azure team. Het team werkt rechtstreeks met u mee om de onboarding te voltooien. Het kan tot 48 uur duren voordat aanvragen voor nieuwe Utimaco-accounts worden verwerkt en geactiveerd. Als u geen Utimaco-account hebt, raadpleegt u Een account maken in de Utimaco-portal voor instructies.

Het welkomstpakket voor onboarding ontvangen en verifiëren

Utimaco biedt het welkomstpakket dat is vereist voor onboarding van Azure Payment HSM v2. Het pakket bevat de SCA-toepassing (Secure Configuration Assistant), C3 Key Loading Device (KLD), smartcards en gerelateerde onboardingmaterialen. Controleer de ontvangst van alle pakketinhoud voordat u doorgaat met onboarding-activiteiten.

Klantacties

  1. Bevestig de ontvangst van het welkomstpakket voor onboarding en alle inbegrepen materialen.
  2. Controleer de levering van de SCA-toepassing, C3 KLD, smartcards en ondersteunende documentatie.
  3. Verzend bevestiging van pakketbevestiging naar zowel Microsoft als Utimaco voordat u verdergaat met de volgende onboardingstap.

Clientvertrouwen tot stand brengen

Als u wederzijdse vertrouwen tussen uw omgeving en Azure Payment HSM v2 wilt instellen, configureert u een vertrouwd ca-certificaat (certificeringsinstantie) voor de beheerinterface en de toepassingsinterface. Gebruik deze certificaten voor clientverificatie en om beveiligde, wederzijds geverifieerde connectiviteit tot stand te brengen met Azure Payment HSM v2. Maak zelfondertekende root-CA-certificaten en bevestig ervoor dat elk certificaat een EC-publieke sleutel gebruikt op de NIST P-256-curve. Gebruik het volgende voorbeeld om certificaten te genereren.

Zie Authenticatie en toegangsbeheer voor Azure Payment HSM v2 voor het vertrouwensmodel achter deze certificaten, met inbegrip van de afzonderlijke vertrouwensankers voor beheer en toepassingen en waarom de service alleen zelfondertekende P-256-hoofdcertificeringsinstanties ondersteunt.

CA-verificatiecertificaten maken

Genereer elliptische curvesleutelparen en maak zelfondertekende CA-certificaten met behulp van de volgende OpenSSL-opdrachten.

Belangrijk

Gebruik voor elk vertrouwd verlenercertificaat een zelfondertekende root-CA. Het certificaat moet een openbare EC-sleutel gebruiken op de NIST P-256-curve (prime256v1). Azure Payment HSM v2 biedt geen ondersteuning voor tussenliggende CA-certificaten of certificaten die gebruikmaken van andere cryptografische algoritmen of sleuteltypen.

  • Vertrouwde CA’s voor de beheerpoort horen in certs-mgmt/.
  • Vertrouwde CA's voor de applicatiepoort horen in certs/.

CA-sleutels en zelfondertekende certificaten genereren

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

De functie AllowPrivateEndpoints registreren

Azure Payment HSM v2 vereist een privé-eindpunt. Tijdens de openbare preview registreert Azure deze mogelijkheid niet automatisch. Registreer de AllowPrivateEndpoints functie voor de Microsoft.Network resourceprovider voor elk abonnement waarin u de service implementeert. Als u deze functie niet registreert, mislukken de netwerkstappen verderop in deze quickstart.

Belangrijk

Het Azure Payment HSM v2-team registreert uw Payment HSM v2-resource. Registreer de AllowPrivateEndpoints functie zelf voor elk abonnement waarin u de service implementeert. Het kan enkele minuten duren voordat de registratie is voltooid. Wacht totdat de functie een geregistreerde status weergeeft voordat u doorgaat met het maken van een virtueel clientnetwerk en een privé-DNS-zone.

Stel de abonnementscontext in, registreer de functie en controleer de registratie.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Azure Payment HSM v2 implementeren

Een HSM v2-exemplaar voor betaling maken

In het volgende voorbeeld worden een resourcegroep en een Payment HSM v2-exemplaar gemaakt. Voer het voorbeeld uit vanuit de map die management-trusted-ca.pem en application-trusted-ca.pem bevat. Stel de abonnementscontext in en werk de locatie, resourcenaam en resourcegroepnaam bij zodat deze overeenkomt met uw omgeving.

Belangrijk

Kies een unieke HSM-naam. Als u een HSM-naam opgeeft die al bestaat in de gekozen regio, mislukt de implementatie.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Implementeer uw Payment HSM v2-resources in een afzonderlijke resourcegroep, los van uw bijbehorende resources voor virtuele netwerken en virtuele machines (VM's). Afzonderlijke resourcegroepen bieden betere beheer- en beveiligingsisolatie.

Een virtueel clientnetwerk en een privé-DNS-zone maken

Implementeer uw virtuele clientnetwerk en VM in dezelfde regio als uw HSM-resource. Werk de namen van de resourcegroep en het virtuele netwerk bij zodat deze overeenkomen met uw omgeving. In het volgende voorbeeld wordt een resourcegroep, een virtueel netwerk met afzonderlijke beheer - en toepassingssubnetten en een privé-DNS-zone gemaakt. In het voorbeeld wordt de zone vervolgens gekoppeld aan het virtuele netwerk.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Een privé-eindpunt maken voor Azure Payment HSM v2

Azure Payment HSM v2 bevat twee privékoppelingsgroep-id's: management op poort 7005 en application op poort 2200. Maak een afzonderlijk privé-eindpunt voor elke groeps-id met behulp van het bijbehorende subnet van Een virtueel clientnetwerk en een privé-DNS-zone maken. Maak beide eindpunten voor volledige beheerders- en betalingstoepassingstoegang. Als u alleen beheerderstoegang nodig hebt, zoals voor het Utimaco Key Loading Device (KLD), maakt u alleen het beheereindpunt.

Maak eerst beide privé-eindpunten:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Verbind vervolgens beide eindpunten met de privé-DNS-zone, zodat hun hostnamen worden omgezet vanuit uw virtuele netwerk:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Aanbeveling

Privé-eindpunten verbinden uw virtuele netwerk met Azure Payment HSM v2 via Azure Private Link. Verkeer tussen uw virtuele netwerk en de service blijft op het Microsoft netwerk. Deze privéconnectiviteit vermindert de blootstelling aan het openbare internet, zoals beschreven in netwerkbeveiliging voor Azure Payment HSM v2.

Verbinding maken met Azure Payment HSM v2

Nadat u uw instantie van Payment HSM v2 hebt ingericht en de privé-eindpunten hebt ingesteld, stelt u connectiviteit in met zowel de beheer- als toepassingsinterfaces van het cluster Azure Payment HSM v2. Azure Private Link biedt connectiviteit vanuit het virtuele netwerk. Als u verbinding wilt maken vanuit een on-premises netwerk, met inbegrip van het KLD (Utimaco Key Loading Device), gebruikt u een site-naar-site virtueel particulier netwerk (VPN) of een andere goedgekeurde hybride verbinding. Afzonderlijke werkstations kunnen gebruikmaken van een punt-naar-site-VPN of Secure Shell (SSH)-poortdoorschakeling via een Azure-VM.

Het document met operationele instructies voor APM op LS2 in de Utimaco-portal bevat gedetailleerde procedures voor installatie, configuratie, validatie en probleemoplossing. Voor toegang tot het document is een actief Utimaco-portalaccount en -registratie vereist.

Belangrijk

Als u de beheerinterface wilt bereiken van buiten het Azure virtueel netwerk, maakt u verbinding via een goedgekeurde VPN- of SSH-tunnel. Netwerkconnectiviteit bieden met de beheerpoort (7005) en toepassingspoort (2200) van geautoriseerde beheerwerkstations en betalingstoepassingen.

Klantacties

  1. Implementeer of gebruik een bestaande Azure VM in een Azure virtueel netwerk voor toegang tot de Azure HSM v2-omgeving.
  2. Maak verbinding met de HSM-beheerinterface met het hulpprogramma Utimaco Secure Configuration Assistant (SCA), het C3 Key Loading Device (KLD) en beheerders- of back-upsmartcards.
  3. Toegang tot de HSM-beheerpoort tot stand brengen via een goedgekeurde connectiviteitsmethode, zoals het doorsturen van SSH-poorten of VPN.
  4. Controleer of de verbinding met de HSM-beheerinterface is geslaagd en voer de eerste HSM-beheertaken uit.
  5. Maak verbinding met de HSM-toepassingsinterface en controleer de connectiviteit van toepassingen met behulp van bestaande betalingstoepassingen en testtransacties.

Beheerpoort- en toepassingspoortgegevens

Beheerpoort: 7005 - Administratieve en beheerbewerkingen.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, waar <node-number> is 1, of 23

Toepassingspoort: 2200 - Gegevensvlak van betalingstoepassing voor Atalla-opdrachten en cryptografische bewerkingen.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, waar <node-number> is 1, of 23

Een Azure virtuele machine binnen een Azure virtueel netwerk implementeren

Quickstart: Een virtuele Linux-machine maken in de Azure-portal om een Azure-VM te implementeren waarop Ubuntu Server 22.04 LTS wordt uitgevoerd. Selecteer tijdens de netwerkconfiguratie het virtuele clientnetwerk en het beheersubnet dat u eerder hebt gemaakt.

Configureer VPN of SSH-poortdoorschakeling om verbinding te maken met uw Payment HSM v2

Maak verbinding met uw Azure Payment HSM v2-beheerinterface met behulp van een van de volgende goedgekeurde methoden.

Site-naar-site-VPN die is verbonden met het Azure virtuele netwerk dat als host fungeert voor het beheereindpunt:

Punt-naar-site-VPN die is verbonden met het Azure virtueel netwerk dat als host fungeert voor het beheereindpunt:

SSH-lokale poort doorsturen via een Azure VM (jump box) die is geïmplementeerd in uw Azure virtueel netwerk:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Voorbeeld:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Verwante onderwerpen

  • Laatst bijgewerkt om