Uwierzytelnianie i kontrola dostępu dla modułu HSM płatności Azure w wersji 2

Azure Moduł HSM płatności w wersji 2 chroni dwie odrębne płaszczyzny sterowania: interfejsy HSM, które przetwarzają kryptografię płatności, oraz zasób Azure reprezentujący klaster. Klienci uwierzytelniają się względem interfejsów HSM przy użyciu wzajemnego TLS, administratorzy uwierzytelniają się w HSM za pomocą kart inteligentnych za pośrednictwem programu Secure Configuration Assistant (SCA), a kontrola dostępu oparta na rolach platformy Azure (RBAC) reguluje dostęp do zasobu platformy Azure. W tym artykule opisano każdy mechanizm i linki do procedur, które go implementują.

Uwierzytelnianie klienta przy użyciu wzajemnego protokołu TLS

Azure Payment HSM v2 udostępnia interfejs zarządzania i interfejs aplikacyjny, a oba wymagają protokołu TLS z wzajemnym uwierzytelnianiem. Każdy interfejs ufa certyfikatowi urzędu certyfikacji podanemu podczas wdrażania klastra, a klienci przedstawiają certyfikaty wystawione z tego urzędu certyfikacji w celu nawiązania połączenia.

  • Użyj certyfikatu głównego z podpisem własnym na krzywej NIST P-256. Każdy zaufany wystawca musi być samopodpisanym certyfikatem głównego urzędu certyfikacji, którego klucz jest kluczem publicznym krzywej eliptycznej (EC) na krzywej NIST P-256 (prime256v1). Azure Payment HSM v2 nie obsługuje certyfikatów pośrednich urzędów certyfikacji ani innych algorytmów kryptograficznych ani innych typów kluczy. Aby uzyskać więcej informacji, zobacz Ustanawianie zaufania klienta.

  • Podaj oddzielne kotwice zaufania dla interfejsów zarządzania i aplikacji. Podczas tworzenia klastra określ odrębnego zaufanego wystawcę dla portu zarządzania oraz odrębnego zaufanego wystawcę dla portu aplikacji, aby dostęp administracyjny i dostęp do aplikacji płatniczej opierały się na niezależnych łańcuchach certyfikatów. Aby uzyskać więcej informacji, zobacz Tworzenie wystąpienia Payment HSM v2.

  • Przed rozpoczęciem działania upewnij się, że wzajemne protokoły TLS są aktywne. SCA wyświetla ikonę połączenia i zieloną ikonę kłódki po ustanowieniu sesji z wzajemnym uwierzytelnianiem. Przed administrowanie klastrem sprawdź te wskaźniki. Aby uzyskać więcej informacji, zobacz artykuł Często zadawane pytania dotyczące Azure Payment HSM v2.

Poświadczenia administratora modułu HSM

Administratorzy zarządzają modułem HSM przy użyciu poświadczeń fizycznych i utimaco SCA. Posiadanie tych poświadczeń zapewnia dostęp administracyjny oraz dostęp do wgrywania kluczy, dlatego należy je chronić jak każdy inny cenny sekret.

  • Zarządzaj modułem HSM za pomocą SCA, kart inteligentnych i urządzenia do ładowania kluczy C3 (KLD). Użyj SCA z administracyjnymi i zapasowymi kartami inteligentnymi oraz C3 KLD do konfiguracji modułu HSM, zarządzania użytkownikami, zarządzania kluczami i operacji tworzenia kopii zapasowych. Aby uzyskać więcej informacji, zobacz Nawiązywanie połączenia z usługą Azure Payment HSM w wersji 2.

  • Przechowuj karty inteligentne i klD zgodnie z zasadami zarządzania poświadczeniami. Karta inteligentna administratora, zapasowe karty inteligentne oraz C3 KLD służą do uwierzytelniania czynności administracyjnych i ładowania kluczy, dlatego należy ograniczyć do nich dostęp fizyczny i przechowywać je w bezpiecznym miejscu. Aby uzyskać więcej informacji, zobacz Wykonywanie operacji Azure Payment HSM v2.

  • Stosuj zasadę najmniejszych uprawnień za pomocą powiązań zabezpieczeń i zasad użycia. Zainicjuj moduł HSM za pomocą powiązania zabezpieczeń i zdefiniuj zasady użytkowania, aby administratorzy i aplikacje otrzymywali wyłącznie uprawnienia wymagane do realizacji swoich zadań. Aby uzyskać więcej informacji, zobacz Wykonywanie operacji Azure Payment HSM v2.

kontrola dostępu Azure

Dostęp do zasobu Azure, który reprezentuje klaster, jest oddzielony od administracji modułem HSM. Użyj Azure kontroli dostępu opartej na rolach, aby kontrolować, kto może tworzyć klaster i zasoby sieciowe zależne oraz zarządzać nimi.

  • Przyznaj uprawnienia zgodne z zasadą najmniejszych uprawnień do zarządzania klastrem. Nadaj tylko tożsamościom zaufanym uprawnienia Azure wymagane do utworzenia zasobu, prywatnych punktów końcowych, prywatnych stref DNS i rejestracji funkcji subskrypcji wymaganej przez usługę i zarządzania nimipaymentHsmClusters. Aby uzyskać więcej informacji, zobacz Przygotowywanie środowiska.

Treści powiązane

  • Ostatnia aktualizacja o