Безопасность сети для azure Cloud HSM

Обеспечение надежной сетевой безопасности имеет решающее значение при использовании облачного устройства HSM Azure. В этой статье приводятся рекомендации по настройке частной конечной точки, настройке DNS, необходимым портам, правилам группы безопасности сети и размещению виртуальных машин, которые помогут предотвратить несанкционированный доступ и повысить общую безопасность.

Частная конечная точка

Чтобы повысить безопасность развертывания Azure Cloud HSM, используйте частные подсети и частные конечные точки. Они позволяют безопасно подключаться к Azure Cloud HSM через приватный канал, чтобы упростить подключение частных IP-адресов из виртуальной сети.

Частная конечная точка гарантирует, что трафик между виртуальной сетью и службой Azure проходит через магистральную сеть Майкрософт для обеспечения безопасности и частного взаимодействия. Этот упреждающий подход повышает уровень безопасности приложения, минимизируя воздействие потенциальных угроз из Интернета.

Инструкции по созданию частной конечной точки для Azure Cloud HSM см. в статье "Развертывание Azure Cloud HSM" с помощью портала Azure или развертывания Azure Cloud HSM с помощью Azure PowerShell. Полное пошаговое руководство по интеграции Приватный канал, включая управление DNS и проверку, см. в разделе "Интеграция Azure Cloud HSM с Приватный канал Azure".

Частная DNS

При создании частной конечной точки для Azure Cloud HSM служба назначает каждому узлу HSM частное имя узла DNS в следующем формате:

hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net

Чтобы устранить эти имена узлов из виртуальной сети, настройте частную зону DNS и privatelink.cloudhsm.azure.net свяжите ее с виртуальными сетями, содержащими виртуальные машины администратора и приложения. При создании частной конечной точки на портале Azure можно включить автоматическую интеграцию частной зоны DNS на вкладке DNS.

Note

Административная виртуальная машина и виртуальные машины приложений должны иметь возможность разрешать имя узла HSM. Если не удаётся разрешить DNS-имя, инструменты azcloudhsm_client и azcloudhsm_mgmt_util не могут подключиться к кластеру HSM. Проверьте разрешение DNS, запустив nslookup <hsm-hostname> на виртуальной машине, прежде чем запускать средства HSM.

Обязательные порты

Azure Cloud HSM использует следующие порты. Убедитесь, что правила NSG и любые брандмауэры разрешают трафик на этих портах из подсетей виртуальной машины в частную конечную точку.

Порт Направление инструмент Purpose
2224 Исходящий трафик (виртуальная машина → HSM) azcloudhsm_client Интерфейс клиента (TCP через TLS)
2225 Исходящий трафик (виртуальная машина → HSM) azcloudhsm_client Интерфейс клиента (TCP через TLS)
443 Исходящий трафик (виртуальная машина → HSM) azcloudhsm_client Клиентские запросы
444 Исходящий трафик (виртуальная машина → HSM) azcloudhsm_mgmt_util Запросы служебной программы управления
445 Внутреннее Service Обмен данными между серверами (узел HSM)

NSG — правила

При развертывании виртуальных машин администратора и приложения в подсети с NSG добавьте правила исходящего трафика, чтобы разрешить исходящий трафик к частной конечной точке HSM через необходимые порты. Рассмотрим пример.

Priority Имя Source Место назначения Порт Protocol Action
100 Allow-HSM-Client Виртуальная сеть <private-endpoint-IP> 2224, 2225 Протокол tcp Allow
110 Allow-HSM-Mgmt Виртуальная сеть <private-endpoint-IP> 443, 444 Протокол tcp Allow

Замените <private-endpoint-IP> на закрытый IP-адрес, назначенный вашей закрытой конечной точке Cloud HSM, или используйте диапазон адресов подсети, в который входит закрытая конечная точка.

Размещение виртуальной машины

Azure Cloud HSM использует архитектуру управляющей программы клиента. Управляющая azcloudhsm_client программа должна выполняться на той же виртуальной машине, что и приложение, так как приложение взаимодействует с управляющей службой по локальному сокету. Это означает следующее:

  • Виртуальная машина администратора: используется для начальной настройки HSM, управления пользователями, управления ключами и резервного копирования. Запускает azcloudhsm_mgmt_util и azcloudhsm_util.
  • Виртуальные машины приложений: запускают ваши рабочие нагрузки (например, Apache, NGINX, SQL Server или пользовательские приложения) и каждая из них должна запускать собственный экземпляр azcloudhsm_client.

Оба типа виртуальных машин должны находиться в виртуальной сети, которая имеет подключение к частной конечной точке Cloud HSM.

Tip

Рекомендуется разместить ресурсы Cloud HSM в отдельной группе ресурсов от клиентских виртуальных машин и виртуальной сети. Это повышает управляемость и изоляцию в плане безопасности. Дополнительные сведения см. в разделе "Развертывание Azure Cloud HSM" с помощью портала Azure.

Возможность подключения к локальной среде

Если серверы подписывания или приложения выполняются локально, их можно подключить к Azure Cloud HSM с помощью Azure VPN Gateway:

В обоих случаях на локальном хосте должна быть запущена служба azcloudhsm_client, и он должен иметь доступ к IP-адресам приватной конечной точки HSM через VPN-туннель.

Связанный контент

  • Последнее обновление: