Szybki start: tworzenie modułu HSM płatności Azure w wersji 2

Azure Payment HSM v2 to usługa sprzętowego modułu zabezpieczającego (HSM) o wysokiej dostępności, dedykowana dla jednego dzierżawcy, przeznaczona do przetwarzania płatności, wydawania poświadczeń, przetwarzania numerów PIN, zarządzania kluczami i ochrony danych uwierzytelniających. Azure Moduł HSM płatności w wersji 2 pomaga dostawcom usług i instytucjom finansowym zmodernizować swoje systemy płatności i wdrożyć chmurę publiczną. Aby uzyskać więcej informacji, zobacz Czym jest Azure Payment HSM v2?

W tym przewodniku szybkiego startu opisano, jak wdrożyć i uruchomić klaster Azure Payment HSM v2 w prywatnej sieci wirtualnej.

Wymagania wstępne

Przygotowywanie środowiska

  • Użyj Azure Cloud Shell lub zainstaluj Azure PowerShell. Jeśli używasz Azure PowerShell lokalnie, zaloguj się do Azure.
  • Zainstaluj program OpenSSL, aby utworzyć certyfikat.
  • Użyj tożsamości, która ma uprawnienia do tworzenia grup zasobów, sieci wirtualnych, prywatnych punktów końcowych, prywatnych stref DNS i zasobów Payment HSM v2. Tożsamość musi również mieć uprawnienia do rejestrowania funkcji subskrypcji Azure.
  • W wersji zapoznawczej wdrażaj Payment HSM v2 tylko w regionie West US lub West Europe.

Ustanawianie kont Azure i Utimaco

Przed wdrożeniem usługi Azure Payment HSM v2 upewnij się, że Twoja organizacja ma aktywne konto i subskrypcję platformy Azure, a także zarejestrowane konto w portalu pomocy technicznej Utimaco. Te konta są potrzebne do aprowizowania zasobów, uzyskania dostępu do oprogramowania i dokumentacji oraz otrzymania wsparcia wdrożeniowego.

Konto platformy Azure

Musisz mieć aktywne konto platformy Azure i aktywną subskrypcję platformy Azure przed wdrożeniem usługi Azure Payment HSM v2. Jeśli nie masz konta Azure, przed rozpoczęciem utwórz bezpłatne konto.

Konto Utimaco

Wdrożenie usługi Azure Payment HSM v2 wymaga aktywnego konta Utimaco i odpowiedniego uprawnienia przed rozpoczęciem aprowizacji. W ramach publicznej wersji zapoznawczej po zatwierdzeniu przez firmę Microsoft wniosku o wdrożenie firma Microsoft kontaktuje Cię z zespołem Utimaco Azure. Zespół współpracuje bezpośrednio z tobą, aby przeprowadzić wdrożenie. Przetwarzanie i aktywowanie nowych żądań konta Utimaco może potrwać do 48 godzin. Jeśli nie masz konta Utimaco, zobacz Tworzenie konta w portalu Utimaco , aby uzyskać instrukcje.

Odebrać i zweryfikować pakiet powitalny wdrożeniowy

Utimaco dostarcza pakiet powitalny wymagany do wdrożenia Azure Payment HSM v2. Pakiet zawiera aplikację Secure Configuration Assistant (SCA), urządzenie C3 Key Loading Device (KLD), karty inteligentne oraz powiązane materiały wdrożeniowe. Przed kontynuowaniem czynności wdrożeniowych sprawdź, czy otrzymano wszystkie elementy paczki.

Akcje klienta

  1. Potwierdź otrzymanie pakietu powitalnego wdrożeniowego oraz wszystkich zawartych w nim materiałów.
  2. Sprawdź dostarczanie aplikacji SCA, C3 KLD, kart inteligentnych i dokumentacji pomocniczej.
  3. Przed przejściem do następnego etapu wdrożenia wyślij potwierdzenie otrzymania pakietu zarówno do firmy Microsoft, jak i Utimaco.

Ustanawianie zaufania klienta

Aby ustanowić wzajemne zaufanie między Twoim środowiskiem a usługą Azure Payment HSM v2, skonfiguruj certyfikat zaufanego centrum certyfikacji (CA) dla interfejsu zarządzania i interfejsu aplikacyjnego. Użyj tych certyfikatów do uwierzytelniania klienta i ustanów bezpieczną, wzajemnie uwierzytelnianą łączność z modułem HSM płatności Azure w wersji 2. Utwórz samopodpisane główne certyfikaty urzędu certyfikacji i potwierdź, że każdy certyfikat używa klucza publicznego krzywej eliptycznej (EC) na krzywej NIST P-256. Użyj poniższego przykładu, aby wygenerować certyfikaty.

Informacje o modelu zaufania stojącym za tymi certyfikatami, w tym o oddzielnych kotwicach zaufania dla zarządzania i aplikacji oraz o tym, dlaczego usługa obsługuje tylko główne urzędy certyfikacji (CA) P-256 z podpisem własnym, znajdziesz w artykule Uwierzytelnianie i kontrola dostępu dla usługi Azure Payment HSM v2.

Tworzenie certyfikatów uwierzytelniania urzędu certyfikacji

Wygeneruj pary kluczy krzywych eliptycznych i utwórz certyfikaty CA z podpisem własnym za pomocą następujących poleceń OpenSSL.

Ważna

Użyj certyfikatu głównego z podpisem własnym dla każdego zaufanego certyfikatu wystawcy. Certyfikat musi używać klucza publicznego EC na krzywej NIST P-256 (prime256v1). Azure Moduł HSM płatności w wersji 2 nie obsługuje certyfikatów pośredniego urzędu certyfikacji ani certyfikatów korzystających z innych algorytmów kryptograficznych lub typów kluczy.

  • Zaufane urzędy certyfikacji portu zarządzania znajdują się w certs-mgmt/.
  • Zaufane urzędy certyfikacji dla portu aplikacji znajdują się w certs/.

Generuj klucze urzędu certyfikacji i certyfikaty samopodpisane

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Rejestrowanie funkcji AllowPrivateEndpoints

Azure Payment HSM v2 wymaga prywatnego punktu końcowego. W publicznej wersji zapoznawczej Azure nie rejestruje tej funkcji automatycznie. Zarejestruj funkcję AllowPrivateEndpoints dla dostawcy zasobów Microsoft.Network w każdej subskrypcji, w której wdrażasz usługę. Jeśli ta funkcja nie zostanie zarejestrowana, kroki sieciowe opisane w dalszej części tego przewodnika Szybki start kończą się niepowodzeniem.

Ważna

Zespół Azure Payment HSM v2 rejestruje zasób Payment HSM v2. AllowPrivateEndpoints Zarejestruj tę funkcję samodzielnie w każdej subskrypcji, w której wdrażasz usługę. Rejestracja może potrwać kilka minut. Przed kontynuowaniem tworzenia sieci wirtualnej klienta i prywatnej strefy DNS zaczekaj na wyświetlenie stanu Zarejestrowane.

Ustaw kontekst subskrypcji, zarejestruj tę funkcję, a następnie zweryfikuj rejestrację.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Wdróż Azure Payment HSM v2

Utwórz instancję Payment HSM v2

Poniższy przykład tworzy grupę zasobów i instancję Payment HSM v2. Uruchom przykład z katalogu, który zawiera management-trusted-ca.pem i application-trusted-ca.pem. Ustaw kontekst subskrypcji i zaktualizuj lokalizację, nazwę zasobu i nazwę grupy zasobów, aby pasować do środowiska.

Ważna

Wybierz unikatową nazwę modułu HSM. Jeśli określisz nazwę modułu HSM, która już istnieje w wybranym regionie, wdrożenie zakończy się niepowodzeniem.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Wdróż zasoby Payment HSM v2 w oddzielnej grupie zasobów niż powiązane zasoby klienta sieci wirtualnej i maszyny wirtualnej (VM). Oddzielne grupy zasobów zapewniają lepsze zarządzanie i izolację zabezpieczeń.

Tworzenie sieci wirtualnej klienta i prywatnej strefy DNS

Wdróż sieć wirtualną klienta i maszynę wirtualną w tym samym regionie co zasób modułu HSM. Zaktualizuj grupę zasobów i nazwy sieci wirtualnej, aby odpowiadały twojemu środowisku. Poniższy przykład tworzy grupę zasobów, sieć wirtualną z oddzielnymi podsieciami zarządzania i aplikacji oraz prywatną strefą DNS. Następnie przykład łączy strefę z siecią wirtualną.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Tworzenie prywatnego punktu końcowego dla modułu HSM płatności Azure w wersji 2

Usługa Azure Payment HSM v2 udostępnia dwa identyfikatory grup usługi Private Link: management na porcie 7005 i application na porcie 2200. Utwórz oddzielny prywatny punkt końcowy dla każdego identyfikatora grupy, korzystając z odpowiedniej podsieci z Utwórz sieć wirtualną klienta i prywatną strefę DNS. Utwórz oba punkty końcowe w celu uzyskania pełnego dostępu do aplikacji administracyjnych i płatności. Jeśli potrzebujesz tylko dostępu administracyjnego, takiego jak urządzenie ładujący klucz Utimaco (KLD), utwórz tylko punkt końcowy zarządzania.

Najpierw utwórz oba prywatne punkty końcowe:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Następnie połącz oba punkty końcowe z prywatną strefą DNS, aby ich nazwy hostów rozpoznawały z sieci wirtualnej:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Wskazówka

Prywatne punkty końcowe łączą Twoją sieć wirtualną z usługą Azure Payment HSM v2 za pośrednictwem usługi Azure Private Link. Ruch między siecią wirtualną a usługą odbywa się w obrębie sieci Microsoft. Ta prywatna łączność zmniejsza ekspozycję na publiczny internet, jak opisano w temacie Zabezpieczenia sieciowe dla Azure Payment HSM w wersji 2.

Łączenie z usługą Azure Payment HSM v2

Po aprowizowaniu wystąpienia Payment HSM v2 i skonfigurowaniu prywatnych punktów końcowych skonfiguruj łączność zarówno z interfejsem zarządzania, jak i interfejsem aplikacji klastra Azure Payment HSM v2. Azure Private Link zapewnia łączność z sieci wirtualnej. Aby nawiązać połączenie z sieci lokalnej, w tym urządzenia do ładowania kluczy Utimaco (KLD), użyj wirtualnej sieci prywatnej (VPN) typu lokacja-lokacja lub innego zatwierdzonego połączenia hybrydowego. Poszczególne stacje robocze mogą używać sieci VPN typu punkt-lokacja lub przekierowania portów protokołu Secure Shell (SSH) za pośrednictwem maszyny wirtualnej Azure.

Dokument APM on LS2 Operational Instructions w portalu Utimaco zawiera szczegółowe procedury instalacji, konfiguracji, weryfikacji i rozwiązywania problemów. Dostęp do dokumentu wymaga aktywnego konta portalu Utimaco i rejestracji.

Ważna

Aby uzyskać dostęp do interfejsu zarządzania spoza sieci wirtualnej Azure, połącz się za pośrednictwem zatwierdzonej sieci VPN lub tunelu SSH. Zapewnij łączność sieciową z portem zarządzania (7005) i portem aplikacji (2200) z autoryzowanych stacji roboczych zarządzania i aplikacji płatniczych.

Akcje klienta

  1. Wdróż istniejącą maszynę wirtualną Azure w sieci wirtualnej Azure lub użyj jej, aby uzyskać dostęp do środowiska Azure Payment HSM v2.
  2. Połącz się z interfejsem zarządzania modułu HSM przy użyciu narzędzia Utimaco Secure Configuration Assistant (SCA), urządzenia C3 Key Loading Device (KLD) oraz kart inteligentnych administratora lub kopii zapasowej.
  3. Ustanów dostęp do portu zarządzania modułem HSM za pośrednictwem zatwierdzonej metody łączności, takiej jak przekazywanie portów SSH lub sieć VPN.
  4. Sprawdź pomyślną łączność z interfejsem zarządzania modułem HSM i wykonaj początkowe zadania administracyjne modułu HSM.
  5. Połącz się z interfejsem aplikacji HSM i zweryfikuj łączność aplikacji przy użyciu istniejących aplikacji płatniczych i przetestuj transakcje.

Informacje o porcie zarządzania i porcie aplikacji

Port zarządzania: 7005 — Operacje administracyjne i zarządzania.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, gdzie <node-number> oznacza 1, 2 lub 3

Port aplikacji: 2200 — Warstwa danych aplikacji płatniczej dla poleceń Atalla i operacji kryptograficznych.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, gdzie <node-number> oznacza 1, 2 lub 3

Wdrażanie maszyny wirtualnej Azure w sieci wirtualnej Azure

Użyj Szybki start: tworzenie maszyny wirtualnej z systemem Linux w witrynie Azure Portal, aby wdrożyć maszynę wirtualną platformy Azure, na której działa system Ubuntu Server 22.04 LTS. Podczas konfigurowania sieci wybierz utworzoną wcześniej sieć wirtualną klienta i podsieć zarządzania.

Skonfiguruj przekierowanie portów VPN lub SSH, aby połączyć się z modułem Payment HSM v2

Połącz się z interfejsem zarządzania usługi Azure Payment HSM v2, korzystając z jednej z następujących zatwierdzonych metod.

Sieć VPN typu lokacja-lokacja połączona z siecią wirtualną Azure hostująca punkt końcowy zarządzania:

Sieć VPN typu punkt-lokacja połączona z siecią wirtualną Azure hostująca punkt końcowy zarządzania:

Lokalne przekierowanie portów SSH za pośrednictwem maszyny wirtualnej platformy Azure (hosta pośredniczącego) wdrożonej w ramach sieci wirtualnej platformy Azure:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Przykład:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Treści powiązane

  • Ostatnia aktualizacja o