Zabezpieczenia sieciowe dla Azure Payment HSM v2

Azure Payment HSM v2 używa prywatnych punktów końcowych, aby utrzymać ruch związany z zarządzaniem i aplikacjami płatniczymi w obrębie prywatnych adresów IP. W tym artykule opisano konfigurację prywatnego punktu końcowego, konfigurację systemu nazw domen (DNS), wymagane porty, reguły sieciowej grupy zabezpieczeń i umieszczanie maszyny wirtualnej.

Dostęp do sieci publicznej

Azure Payment HSM v2 został zaprojektowany tak, aby był dostępny wyłącznie za pośrednictwem połączeń prywatnych. Wdróż klaster z wyłączonym dostępem do sieci publicznej, aby cały ruch docierał do modułu HSM za pośrednictwem prywatnych punktów końcowych, a nie publicznego Internetu.

Prywatne punkty końcowe zależą od funkcji AllowPrivateEndpoints. W wersji zapoznawczej Azure nie rejestruje tej funkcji automatycznie. Zarejestruj funkcję AllowPrivateEndpoints dla dostawcy zasobów Microsoft.Network w każdej subskrypcji, w której wdrażasz usługę, przed utworzeniem zasobów sieciowych. Jeśli nie zarejestrujesz tej funkcji, kroki konfiguracji prywatnego punktu końcowego nie powiodą się.

Prywatny punkt końcowy

Azure Payment HSM v2 udostępnia dwa docelowe podzasoby usługi Azure Private Link: management na porcie 7005 i application na porcie 2200. Utwórz oddzielny prywatny punkt końcowy dla każdego interfejsu w odpowiedniej podsieci klienta. Prywatne punkty końcowe zapewniają prywatne adresy IP dla połączeń z sieci wirtualnej i obsługiwanych sieci hybrydowych.

Ruch między Twoją siecią wirtualną a usługą Azure Payment HSM v2 nie odbywa się przez publiczny Internet. Ta prywatna łączność zmniejsza narażenie na internet.

Aby uzyskać instrukcje dotyczące wdrażania, zobacz Tworzenie prywatnego punktu końcowego dla modułu HSM płatności Azure w wersji 2.

Prywatna strefa DNS

Podczas tworzenia prywatnych punktów końcowych zarządzania i aplikacji Azure Payment HSM v2 przypisuje każdemu węzłowi HSM prywatną nazwę hosta DNS dla każdego interfejsu w następującym formacie:

Port zarządzania: 7005 — Operacje administracyjne i zarządzania.

  • mgmt1.<pool-name>-<unique-string>.privatelink.phsm.azure.net

Port aplikacji: 2200 — Warstwa danych aplikacji płatniczej dla poleceń Atalla i operacji kryptograficznych.

  • app1.<pool-name>-<unique-string>.privatelink.phsm.azure.net

Aby rozwiązywać te nazwy hostów z poziomu sieci wirtualnej, skonfiguruj prywatną strefę DNS dla privatelink.phsm.azure.net i połącz ją z sieciami wirtualnymi zawierającymi administracyjne i aplikacyjne maszyny wirtualne. Skojarz każdy prywatny punkt końcowy z prywatną strefą DNS przy użyciu prywatnej grupy stref DNS.

Wymagane porty

Azure Payment HSM v2 korzysta z następujących portów. Zezwalaj na wychodzący ruch TCP z każdej podsieci klienta do odpowiedniego prywatnego adresu IP punktu końcowego.

Port Kierunek Client Purpose
7005 Wychodzący (klient → punkt końcowy zarządzania) Utimaco Secure Configuration Assistant (SCA) i C3 Key Loading Device (KLD) Port do zarządzania do operacji administracyjnych i zarządczych.
2200 Wychodzące (klient → punkt końcowy aplikacji) Aplikacja do płatności Port ASCII do poleceń Atalla i operacji kryptograficznych.

Reguły NSG

Podczas wdrażania administracyjnych i aplikacyjnych maszyn wirtualnych w podsieciach z grupami NSG dodaj do każdej grupy NSG regułę ruchu wychodzącego dla odpowiadającego jej prywatnego punktu końcowego i portu. Przykład:

Priority Name Źródło Destynacja Port Protokół Action
100 Allow-PHSM-Management VirtualNetwork <management-private-endpoint-IP> 7005 TCP Allow
110 Allow-PHSM-Application VirtualNetwork <application-private-endpoint-IP> 2200 TCP Allow

Zastąp każdy symbol zastępczy adresu docelowego prywatnym adresem IP przypisanym do odpowiedniego prywatnego punktu końcowego Payment HSM v2. Zastosuj każdą z reguł tylko do NSG skojarzonej z podsiecią klienta, która wymaga dostępu do tego interfejsu.

Rozmieszczanie maszyn wirtualnych

Utwórz maszynę wirtualną Azure w sieci wirtualnej, która może łączyć się z prywatnym punktem końcowym zarządzania. Użyj maszyny wirtualnej, aby uruchomić usługę Utimaco SCA na potrzeby początkowej konfiguracji modułu HSM, zarządzania użytkownikami, zarządzania kluczami i operacji tworzenia kopii zapasowych.

Aby zapoznać się z przykładem wdrożenia, zobacz Szybki start: tworzenie maszyny wirtualnej z systemem Linux w portalu Azure.

Maszyna wirtualna administracyjna wymaga łączności sieciowej z prywatnym punktem końcowym zarządzania.

Wskazówka

Umieść zasoby Payment HSM v2 w oddzielnej grupie zasobów niż maszyny wirtualne klienta i sieć wirtualna. To rozdzielenie upraszcza zarządzanie cyklem życia i kontrolę dostępu.

Łączność lokalna

Użyj Azure VPN Gateway, aby ustanowić połączenie wirtualnej sieci prywatnej (VPN) między siecią lokalną a siecią wirtualną zawierającą prywatne punkty końcowe:

Skonfiguruj przekazywanie DNS lub usługę Azure DNS Private Resolver, aby klienci lokalni rozwiązywali nazwy hostów HSM na prywatne adresy IP prywatnego punktu końcowego. Aby zapoznać się z obsługiwanymi wzorcami, zobacz scenariusze integracji usługi DNS prywatnego punktu końcowego Azure.

Treści powiązane

  • Ostatnia aktualizacja o