Início Rápido: Criar um HSM de Pagamento Azure v2

O Azure Payment HSM v2 é um serviço altamente disponível de módulo de segurança de hardware (HSM) para pagamentos, de locatário único, para processamento de pagamentos, emissão de credenciais, processamento de PIN, gerenciamento de chaves e proteção de dados de autenticação. O Azure Payment HSM v2 ajuda provedores de serviços e instituições financeiras a modernizar seus sistemas de pagamento e adotar a computação em nuvem pública. Para obter mais informações, consulte O que é Azure HSM de pagamento v2?

Este guia de início rápido descreve como integrar e implantar um cluster Azure HSM v2 de pagamento em sua rede virtual privada.

Pré-requisitos

Prepare o seu ambiente

  • Use Azure Cloud Shell ou instale Azure PowerShell. Se você usar Azure PowerShell localmente, entre no Azure.
  • Instale o OpenSSL para criar o certificado.
  • Use uma identidade que tenha permissão para criar grupos de recursos, redes virtuais, pontos de extremidade privados, zonas privadas do Sistema de Nomes de Domínio (DNS) e recursos do Payment HSM v2. A identidade também precisa de permissão para registrar recursos da assinatura do Azure.
  • Durante a versão prévia, implante o Payment HSM v2 somente na região Oeste dos EUA ou Europa Ocidental.

Estabelecer contas Azure e Utimaco

Antes de integrar Azure HSM de Pagamento v2, confirme se sua organização tem uma conta e uma assinatura Azure ativas, bem como uma conta registrada do Portal de Suporte do Utimaco. Você precisa dessas contas para provisionar recursos, acessar software e documentação e receber suporte de integração.

Conta do Azure

Você deve ter uma conta ativa do Azure e uma assinatura do Azure antes de implementar o Azure Payment HSM v2. Se você não tiver uma conta Azure, crie uma conta gratuita antes de começar.

Conta da Utimaco

O processo de integração do Azure Payment HSM v2 requer uma conta ativa da Utimaco e a devida autorização antes do provisionamento. Durante a pré-visualização pública, depois que a Microsoft aprova sua solicitação de onboarding, a Microsoft coloca você em contato com a equipe do Utimaco Azure. A equipe trabalha diretamente com você para concluir a integração. Novas solicitações de conta utimaco podem levar até 48 horas para serem processadas e ativadas. Se você não tiver uma conta utimaco, consulte Criar uma conta no portal utimaco para obter instruções.

Receber e verificar o pacote de boas-vindas de integração

A Utimaco fornece o pacote de boas-vindas necessário para a integração ao Azure Payment HSM v2. O pacote inclui o aplicativo SCA (Secure Configuration Assistant), KLD (Dispositivo de Carregamento de Chaves C3), cartões inteligentes e materiais de integração relacionados. Verifique o recebimento de todo o conteúdo do pacote antes de continuar com as atividades de integração.

Ações do cliente

  1. Confirme o recebimento do pacote de boas-vindas de integração e todos os materiais incluídos.
  2. Verifique a entrega do aplicativo SCA, KLD C3, cartões inteligentes e documentação de suporte.
  3. Envie a confirmação do recebimento do pacote para Microsoft e Utimaco antes de continuar para a próxima etapa de integração.

Estabelecer a confiança do cliente

Para estabelecer uma relação de confiança mútua entre seu ambiente e o Azure Payment HSM v2, configure um certificado de uma autoridade de certificação (CA) confiável para a interface de gerenciamento e a interface de aplicativo. Use estes certificados para autenticação do cliente e para estabelecer uma conectividade segura com autenticação mútua com o Azure Payment HSM v2. Crie certificados de AC raiz autoassinados e confirme se cada certificado usa uma chave pública de curva elíptica (EC) na curva P-256 do Instituto Nacional de Padrões e Tecnologia (NIST). Use o exemplo a seguir para gerar certificados.

Para o modelo de confiança subjacente a esses certificados, incluindo as âncoras de confiança separadas para gerenciamento e aplicativo e por que o serviço oferece suporte apenas a CAs raiz P-256 autoassinadas, consulte Autenticação e controle de acesso do Azure Payment HSM v2.

Criar certificados de autenticação da AC

Gere pares de chaves de curva elíptica e crie certificados de AC autoassinados usando os seguintes comandos OpenSSL.

Importante

Use uma AC raiz autoassinada para cada certificado de emissor confiável. O certificado deve usar uma chave pública EC na curva NIST P-256 (prime256v1). O Azure Payment HSM v2 não oferece suporte a certificados de AC intermediários nem a certificados que usam outros algoritmos criptográficos ou tipos de chave.

  • As CAs confiáveis da porta de gerenciamento ficam em certs-mgmt/.
  • As CAs confiáveis da porta do aplicativo ficam em certs/.

Gerar chaves de CA e certificados autoassinados

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Registrar o recurso AllowPrivateEndpoints

Azure Payment HSM v2 requer um ponto de extremidade privado. Durante a visualização pública, Azure não registra automaticamente essa funcionalidade. Registre o recurso AllowPrivateEndpoints para o Microsoft.Network provedor de recurso em cada assinatura na qual você implanta o serviço. Se você não registrar esse recurso, as etapas de rede mais adiante neste início rápido falharão.

Importante

A equipe do Azure Payment HSM v2 registra o seu recurso do Payment HSM v2. Registre você mesmo o recurso AllowPrivateEndpoints em cada assinatura na qual implantar o serviço. A conclusão do registro pode levar alguns minutos. Aguarde até que o recurso mostre um estado Registrado antes de continuar a criar uma rede virtual cliente e uma zona DNS privada.

Defina o contexto da assinatura, registre o recurso e verifique o registro.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Implantar o Azure Payment HSM v2

Criar uma instância de HSM de Pagamento v2

O exemplo a seguir cria um grupo de recursos e uma instância de HSM de Pagamento v2. Execute o exemplo do diretório que contém management-trusted-ca.pem e application-trusted-ca.pem. Defina o contexto da assinatura e atualize o local, o nome do recurso e o nome do grupo de recursos para corresponder ao seu ambiente.

Importante

Escolha um nome HSM exclusivo. Se você especificar um nome HSM que já existe na região escolhida, sua implantação falhará.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Implante os recursos do HSM de Pagamento v2 em um grupo de recursos separado da rede virtual do cliente e dos recursos de máquina virtual (VM) relacionados. Grupos de recursos separados fornecem melhor gerenciamento e isolamento de segurança.

Criar uma rede virtual cliente e uma zona DNS privada

Implante a rede virtual cliente e a VM na mesma região que o recurso HSM. Atualize o grupo de recursos e os nomes de rede virtual para corresponder ao seu ambiente. O exemplo a seguir cria um grupo de recursos, uma rede virtual com sub-redes de aplicativo e gerenciamento separadas e uma zona DNS privada. Em seguida, o exemplo vincula a zona à rede virtual.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Criar um ponto de extremidade privado para o Azure Payment HSM v2

O Azure Payment HSM v2 expõe dois IDs de grupo de Private Link: management na porta 7005 e application na porta 2200. Crie um ponto de extremidade privado separado para cada ID de grupo usando a sub-rede correspondente de Criar uma rede virtual cliente e uma zona DNS privada. Crie ambos os endpoints para acesso administrativo completo e ao aplicativo de pagamento. Se você precisar apenas de acesso administrativo, como para o Utimaco Key Loading Device (KLD, dispositivo de carregamento de chaves), crie apenas o endpoint de gerenciamento.

Primeiro, crie ambos os endpoints privados:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Em seguida, conecte os dois pontos de extremidade à zona DNS privada para que seus nomes de host sejam resolvidos na sua rede virtual:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Dica

Os pontos de extremidade privados conectam sua rede virtual ao Azure Payment HSM v2 por meio do Link Privado do Azure. O tráfego entre sua rede virtual e o serviço permanece na rede Microsoft. Essa conectividade privada reduz a exposição à internet pública, conforme descrito em Segurança de rede para o Azure Payment HSM v2.

Conectar-se ao HSM de Pagamento Azure v2

Depois de provisionar sua instância do Azure Payment HSM v2 e estabelecer os endpoints privados, configure a conectividade para as interfaces de gerenciamento e de aplicação do cluster do Azure Payment HSM v2. Link Privado do Azure fornece conectividade da rede virtual. Para se conectar a partir de uma rede local, incluindo o KLD (Dispositivo de Carregamento de Chaves utimaco), use uma VPN (rede virtual privada) site a site ou outra conexão híbrida aprovada. Estações de trabalho individuais podem usar uma VPN ponto a site ou o encaminhamento de porta do Secure Shell (SSH) por meio de uma VM do Azure.

O documento instruções operacionais do APM no LS2 no portal utimaco fornece procedimentos detalhados de instalação, configuração, validação e solução de problemas. O acesso ao documento requer uma conta e um registro ativos do portal utimaco.

Importante

Para acessar a interface de gerenciamento de fora do Azure rede virtual, conecte-se por meio de uma VPN ou túnel SSH aprovado. Forneça conectividade de rede à porta de gerenciamento (7005) e à porta do aplicativo (2200) de estações de trabalho de gerenciamento autorizadas e aplicativos de pagamento.

Ações do cliente

  1. Implante ou use uma VM do Azure existente em uma rede virtual do Azure para acessar o ambiente do Azure Payment HSM v2.
  2. Conecte-se à interface de gerenciamento de HSM usando o utilitário SCA (Utimaco Secure Configuration Assistant), o KLD (Dispositivo de Carregamento de Chaves) C3 e o administrador ou os cartões inteligentes de backup.
  3. Estabeleça o acesso à porta de gerenciamento do HSM por meio de um método de conectividade aprovado, como encaminhamento de porta SSH ou VPN.
  4. Verifique a conectividade bem-sucedida com a interface de gerenciamento do HSM e conclua as tarefas iniciais de administração do HSM.
  5. Conecte-se à interface do aplicativo HSM e verifique a conectividade do aplicativo usando aplicativos de pagamento existentes e transações de teste.

Informações da porta de gerenciamento e da porta do aplicativo

Porta de gerenciamento: 7005 – Operações administrativas e de gerenciamento.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, onde <node-number> está 1, 2ou 3

Porta do aplicativo: 2200 - Plano de dados do aplicativo de pagamento para comandos Atalla e operações criptográficas.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, onde <node-number> está 1, 2ou 3

Implantar uma máquina virtual Azure em uma rede virtual Azure

Use o Início Rápido: Criar uma VM linux no portal Azure para implantar uma VM Azure que executa o Ubuntu Server 22.04 LTS. Durante a configuração de rede, selecione a rede virtual do cliente e a sub-rede de gerenciamento que você criou anteriormente.

Configure o redirecionamento de porta VPN ou SSH para se conectar ao seu HSM de pagamento v2

Conecte-se à interface de gerenciamento do Azure Payment HSM v2 usando um dos métodos aprovados a seguir.

VPN site a site conectada à rede virtual do Azure que hospeda o ponto de extremidade de gerenciamento:

VPN ponto a site conectada à rede virtual do Azure que hospeda o endpoint de gerenciamento:

Encaminhamento de porta local SSH por meio de uma VM Azure (jump box) implantada em sua rede virtual Azure:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Por exemplo:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Conteúdo relacionado

  • Última atualização em