Tutorial: Criar um HSM de pagamento

Artigo
10/26/2023

O Azure Payment HSM é um serviço "BareMetal" fornecido usando os módulos de segurança de hardware de pagamento (HSM) Thales payShield 10K para fornecer operações de chave criptográfica para transações de pagamento críticas em tempo real na nuvem do Azure. O Azure Payment HSM foi projetado especificamente para ajudar um provedor de serviços e uma instituição financeira individual a acelerar a estratégia de transformação digital de seus sistemas de pagamento e adotar a nuvem pública. Para obter mais informações, consulte Azure Payment HSM: Visão geral.

Este tutorial descreve como criar um HSM de Pagamento do Azure com o host e a porta de gerenciamento na mesma rede virtual. Em vez disso, pode:

Nota

Se desejar reutilizar uma rede virtual existente, verifique se atendeu a todos os pré-requisitos e leia Como reutilizar uma rede virtual existente.

Pré-requisitos

Importante

O Azure Payment HSM é um serviço especializado. Para se qualificar para integração e uso do Azure Payment HSM, os clientes devem ter um Gerente de Conta da Microsoft atribuído e ter um Arquiteto de Serviços de Nuvem (CSA).

Para saber mais sobre o serviço, iniciar o processo de qualificação e preparar os pré-requisitos antes da integração, peça ao seu gerente de conta da Microsoft e ao CSA para enviar uma solicitação por email.

CLI do Azure
Azure PowerShell

Você deve registrar os provedores de recursos "Microsoft.HardwareSecurityModules" e "Microsoft.Network", bem como os recursos do Azure Payment HSM. As etapas para fazer isso estão em Registrar o provedor de recursos do HSM de pagamento do Azure e os recursos do provedor de recursos.

Aviso

Você deve aplicar o sinalizador de recurso "FastPathEnabled" a cada ID de assinatura e adicionar a tag "fastpathenabled" a cada rede virtual. Para obter mais informações, consulte Fastpathenabled.

Para verificar rapidamente se os provedores de recursos e recursos já estão registrados, use o comando Azure CLI az provider show . (A saída deste comando é mais legível quando exibida em formato de tabela.)
```
az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table
```
Você pode continuar com este início rápido se todos esses quatro comandos retornarem "Registrado".
Precisa de uma subscrição do Azure. Você pode criar uma conta gratuita se não tiver uma.

Use o ambiente Bash no Azure Cloud Shell. Para obter mais informações, consulte Guia de início rápido para Bash no Azure Cloud Shell.
Se preferir executar comandos de referência da CLI localmente, instale a CLI do Azure. Se estiver a utilizar o Windows ou macOS, considere executar a CLI do Azure num contentor Docker. Para obter mais informações, consulte Como executar a CLI do Azure em um contêiner do Docker.
- Se estiver a utilizar uma instalação local, inicie sessão no CLI do Azure ao utilizar o comando az login. Para concluir o processo de autenticação, siga os passos apresentados no seu terminal. Para outras opções de entrada, consulte Entrar com a CLI do Azure.
- Quando solicitado, instale a extensão da CLI do Azure na primeira utilização. Para obter mais informações sobre as extensões, veja Utilizar extensões com o CLI do Azure.
- Execute o comando az version para localizar a versão e as bibliotecas dependentes instaladas. Para atualizar para a versão mais recente, execute o comando az upgrade.

Você deve registrar os provedores de recursos "Microsoft.HardwareSecurityModules" e "Microsoft.Network", bem como os recursos do Azure Payment HSM. As etapas para fazer isso estão em Registrar o provedor de recursos do HSM de pagamento do Azure e os recursos do provedor de recursos.

Aviso

Você deve aplicar o sinalizador de recurso "FastPathEnabled" a cada ID de assinatura e adicionar a tag "fastpathenabled" a cada rede virtual. Para obter mais informações, consulte Fastpathenabled.

Para verificar rapidamente se os provedores de recursos e recursos já estão registrados, use o cmdlet Get-AzProviderFeature do Azure PowerShell:

Get-AzProviderFeature -FeatureName "AzureDedicatedHsm" -ProviderNamespace Microsoft.HardwareSecurityModules

Get-AzProviderFeature -FeatureName "FastPathEnabled" -ProviderNamespace Microsoft.Network

Você pode continuar com este início rápido se o "RegistrationState" de ambos os comandos retornar "Registered".

Precisa de uma subscrição do Azure. Você pode criar uma conta gratuita se não tiver uma.

* Se você optar por usar o Azure PowerShell localmente: * Instale a versão mais recente do módulo Az PowerShell. * Conecte-se à sua conta do Azure usando o cmdlet Connect-AzAccount . * Se você optar por usar o Azure Cloud Shell: * Consulte Visão geral do Azure Cloud Shell para obter mais informações.\

Você deve instalar o módulo Az.DedicatedHsm PowerShell:
```
Install-Module -Name Az.DedicatedHsm
```

Um grupo de recursos é um contentor lógico no qual os recursos do Azure são implementados e geridos. Use o comando az group create para criar um grupo de recursos chamado myResourceGroup no local eastus .

az group create --name "myResourceGroup" --location "EastUS"

Um grupo de recursos é um contentor lógico no qual os recursos do Azure são implementados e geridos. Use o cmdlet New-AzResourceGroup do Azure PowerShell para criar um grupo de recursos chamado myResourceGroup no local eastus.

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

Criar uma rede virtual e uma sub-rede

CLI do Azure
Azure PowerShell

Antes de criar um HSM de pagamento, você deve primeiro criar uma rede virtual e uma sub-rede. Para fazer isso, use o comando Azure CLI az network vnet create :

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Depois, use o comando Azure CLI az network vnet subnet update para atualizar a sub-rede e dar-lhe uma delegação de "Microsoft.HardwareSecurityModules/dedicatedHSMs":

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Para verificar se a VNet e a sub-rede foram criadas corretamente, use o comando Azure CLI az network vnet subnet show :

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Anote o ID da sub-rede, pois você precisa dele para a próxima etapa. O ID da sub-rede termina com o nome da sub-rede:

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Antes de criar um HSM de pagamento, você deve primeiro criar uma rede virtual e uma sub-rede.

Primeiro, defina algumas variáveis para uso nas operações subsequentes:

$VNetAddressPrefix = @("10.0.0.0/16")
$SubnetAddressPrefix = "10.0.0.0/24"
$tags = @{fastpathenabled="true"}

Use o cmdlet New-AzDelegation do Azure PowerShell para criar uma delegação de serviço a ser adicionada à sua sub-rede e salve a saída na $myDelegation variável:

$myDelegation = New-AzDelegation -Name "myHSMDelegation" -ServiceName "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Use o cmdlet New-AzVirtualNetworkSubnetConfig do Azure PowerShell para criar uma configuração de sub-rede de rede virtual e salve a saída na $myPHSMSubnet variável:

$myPHSMSubnetConfig = New-AzVirtualNetworkSubnetConfig -Name "myPHSMSubnet" -AddressPrefix $SubnetAddressPrefix -Delegation $myDelegation

Nota

O cmdlet New-AzVirtualNetworkSubnetConfig gerará um aviso, que você pode ignorar com segurança.

Para criar uma Rede Virtual do Azure, use o cmdlet New-AzVirtualNetwork do Azure PowerShell:

New-AzVirtualNetwork -Name "myVNet" -ResourceGroupName "myResourceGroup" -Location "EastUS" -Tag $tags -AddressPrefix $VNetAddressPrefix -Subnet $myPHSMSubnetConfig

Para verificar se a rede virtual foi criada corretamente, use o cmdlet Get-AzVirtualNetwork do Azure PowerShell:

Get-AzVirtualNetwork -Name "myVNet" -ResourceGroupName "myResourceGroup"

Anote o ID da sub-rede, que é usado na próxima etapa. O ID da sub-rede termina com o nome da sub-rede:

"Id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Criar um HSM de pagamento

Importante

Se você criar dois HSMs de pagamento na mesma região, deverá alocar um para "stamp1" e o outro para "stamp2". Para obter mais informações, consulte Cenários de implantação: implantação de alta disponibilidade.

Criar com hosts dinâmicos

CLI do Azure
Azure PowerShell

Para criar um HSM de pagamento com hosts dinâmicos, use o comando az dedicated-hsm create . O exemplo a seguir cria um HSM de pagamento nomeado myPaymentHSM na eastus região, myResourceGroup grupo de recursos e assinatura especificada, rede virtual e sub-rede:

az dedicated-hsm create \
   --resource-group "myResourceGroup" \
   --name "myPaymentHSM" \
   --location "EastUS" \
   --subnet id="<subnet-id>" \
   --stamp-id "stamp1" \
   --sku "payShield10K_LMK1_CPS60"

Para ver as interfaces de rede recém-criadas, use o comando az network nic list , fornecendo o grupo de recursos:

az network nic list -g myResourceGroup -o table

Na saída, o host 1 e o host 2 são listados, bem como uma interface de gerenciamento:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Para ver os detalhes de uma interface de rede recém-criada, use o comando az network nic show , fornecendo o grupo de recursos e o nome da interface de rede:

az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

A saída contém esta linha:

  "privateIPAllocationMethod": "Dynamic",

Para criar um HSM de pagamento com hosts dinâmicos, use o cmdlet New-AzDedicatedHsm e a ID da VNet da etapa anterior:

New-AzDedicatedHsm -Name "myPaymentHSM" -ResourceGroupName "myResourceGroup" -Location "East US" -Sku "payShield10K_LMK1_CPS60" -StampId "stamp1" -SubnetId "<subnet-id>"

A saída da criação do HSM de pagamento tem esta aparência:

Name  Provisioning State SKU                     Location
----  ------------------ ---                     --------
myHSM Succeeded          payShield10K_LMK1_CPS60 East US

Para ver as interfaces de rede recém-criadas, use o cmdlet Get-AzNetworkInterface , fornecendo o grupo de recursos:

Get-AzNetworkInterface -ResourceGroupName myResourceGroup | Format-Table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

ResourceGroupName Name                     Location ...
----------------- ----                     -------- ---
myResourceGroup   myPaymentHSM_HSMHost1Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMHost2Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMMgmtNic  eastus   ...

No portal do Azure, o "Método de alocação de IP privado" é "Dinâmico":

Criar com hosts estáticos

CLI do Azure
Azure PowerShell

Para criar um HSM de pagamento com hosts estáticos, use o comando az dedicated-hsm create . O exemplo a seguir cria um HSM de pagamento nomeado myPaymentHSM na eastus região, myResourceGroup grupo de recursos e assinatura especificada, rede virtual e sub-rede:

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Se desejar também especificar um IP estático para o host de gerenciamento, você pode adicionar:

  --mgmt-network-interfaces private-ip-address="10.0.0.7" \
  --mgmt-network-subnet="<subnet-id>"

Para ver as interfaces de rede recém-criadas, use o comando az network nic list , fornecendo o grupo de recursos:

az network nic list -g myResourceGroup -o table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Para exibir as propriedades de uma interface de rede, use o comando az network nic show , fornecendo o grupo de recursos e o nome da interface de rede:

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

A saída contém esta linha:

  "privateIPAllocationMethod": "Static",

Para criar um HSM de pagamento com hosts estáticos, use o cmdlet New-AzDedicatedHsm e a ID da VNet da etapa anterior:

New-AzDedicatedHsm -Name "myPaymentHSM" -ResourceGroupName "myResourceGroup" -Location "East US" -Sku "payShield10K_LMK1_CPS60" -StampId "stamp1" -SubnetId "<subnet-id>" -NetworkInterface (@{PrivateIPAddress = '10.0.0.5'}, @{PrivateIPAddress = '10.0.0.6'})

Se desejar também especificar um IP estático para o host de gerenciamento, você pode adicionar:

-ManagementNetworkInterface @{PrivateIPAddress = '10.0.07'} -ManagementSubnetId "<subnetId>"

A saída da criação do HSM de pagamento tem esta aparência:

Name  Provisioning State SKU                     Location
----  ------------------ ---                     --------
myHSM Succeeded          payShield10K_LMK1_CPS60 East US

Para ver as interfaces de rede recém-criadas, use o cmdlet Get-AzNetworkInterface , fornecendo o grupo de recursos:

Get-AzNetworkInterface -ResourceGroupName myResourceGroup | Format-Table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

ResourceGroupName Name                     Location ...
----------------- ----                     -------- ---
myResourceGroup   myPaymentHSM_HSMHost1Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMHost2Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMMgmtNic  eastus   ...

O portal do Azure mostra o "Método de alocação de IP privado" como "Dinâmico":