Snabbstart: Skapa en Azure Payment HSM v2

Azure Payment HSM v2 är en betalnings-HSM-tjänst med hög tillgänglighet, för en enda klient, för betalningsbearbetning, utfärdande av autentiseringsuppgifter, PIN-hantering, nyckelhantering och skydd av autentiseringsdata. Azure Payment HSM v2 hjälper tjänsteleverantörer och finansinstitut att modernisera sina betalningssystem och införa det offentliga molnet. Mer information finns i Vad är Azure Betalning HSM v2?

Den här snabbstarten beskriver hur du registrerar och distribuerar ett Azure Payment HSM v2-kluster i ditt privata virtuella nätverk.

Förutsättningar

Förbered din miljö

  • Använd Azure Cloud Shell eller installera Azure PowerShell. Om du använder Azure PowerShell lokalt loggar du in på Azure.
  • Installera OpenSSL för att skapa certifikatet.
  • Använd en identitet som har behörighet att skapa resursgrupper, virtuella nätverk, privata slutpunkter, privata DNS-zoner (Domain Name System) och HSM v2-betalningsresurser. Identiteten behöver också behörighet att registrera Azure prenumerationsfunktioner.
  • I förhandsversionen distribuerar du Payment HSM v2 endast i regionerna West US eller West Europe.

Upprätta Azure- och Utimaco-konton

Innan du registrerar Azure Payment HSM v2 kontrollerar du att din organisation har ett aktivt Azure konto och prenumeration samt ett registrerat Konto för Utimaco-supportportalen. Du behöver dessa konton för att etablera resurser, komma åt programvara och dokumentation och få registreringssupport.

Azure-konto

Du måste ha ett aktivt Azure konto och Azure prenumeration innan du registrerar Azure Payment HSM v2. Om du inte har ett Azure konto skapar du ett kostnadsfritt konto innan du börjar.

Utimaco-konto

Onboarding för Azure Payment HSM v2 kräver ett aktivt Utimaco-konto och behörighet innan etablering. När Microsoft har godkänt din registreringsbegäran under den offentliga förhandsversionen ansluter Microsoft dig till Utimaco Azure-teamet. Teamet arbetar direkt med dig för att slutföra registreringen. Nya Utimaco-kontobegäranden kan ta upp till 48 timmar att bearbeta och aktivera. Om du inte har något Utimaco-konto kan du läsa mer i Skapa ett konto i Utimaco-portalen .

Ta emot och verifiera välkomstpaketet för registrering

Utimaco tillhandahåller välkomstpaketet som krävs för onboarding av Azure Payment HSM v2. Paketet innehåller programmet Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD), smartkort och relaterade registreringsmaterial. Kontrollera mottagandet av allt paketinnehåll innan du fortsätter med registreringsaktiviteter.

Kundåtgärder

  1. Bekräfta mottagandet av välkomstpaketet för registrering och allt material som ingår.
  2. Verifiera leveransen av SCA-programmet, C3 KLD, smartkort och supportdokumentation.
  3. Skicka bekräftelse av paketkvitto till både Microsoft och Utimaco innan du fortsätter till nästa steg för registrering.

Upprätta klientförtroende

Om du vill upprätta ömsesidigt förtroende mellan din miljö och Azure Payment HSM v2 konfigurerar du ett certifikat för betrodd certifikatutfärdare (CA) för hanteringsgränssnittet och programgränssnittet. Använd dessa certifikat för klientautentisering och för att upprätta en säker, ömsesidigt autentiserad anslutning till Azure Payment HSM v2. Skapa självsignerade rot-CA-certifikat och kontrollera att varje certifikat använder en publik nyckel med elliptisk kurva (EC) baserad på National Institute of Standards and Technology (NIST) P-256-kurvan. Använd följande exempel för att generera certifikat.

För förtroendemodellen bakom dessa certifikat, inklusive de separata fästpunkterna för hantering och programförtroende och varför tjänsten endast stöder självsignerade P-256-rotcertifikatutfärdare, se Autentisering och åtkomstkontroll för Azure Payment HSM v2.

Skapa CA-autentiseringscertifikat

Generera elliptiska kurvnyckelpar och skapa självsignerade CA-certifikat med hjälp av följande OpenSSL-kommandon.

Important

Använd en självsignerad rot-CA för varje betrott utfärdarcertifikat. Certifikatet måste använda en offentlig EC-nyckel på kurvan NIST P-256 (prime256v1). Azure Payment HSM v2 stöder inte mellanliggande CA-certifikat eller certifikat som använder andra kryptografiska algoritmer eller nyckeltyper.

  • Betrodda certifikatutfärdare för hanteringsporten finns i certs-mgmt/.
  • Betrodda certifikatutfärdare för applikationsporten finns i certs/.

Generera CA-nycklar och självsignerade certifikat

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

Registrera funktionen AllowPrivateEndpoints

Azure Betalning HSM v2 kräver en privat slutpunkt. Under den offentliga förhandsversionen registrerar Azure inte den här funktionen automatiskt. Registrera funktionen AllowPrivateEndpoints för resursprovidern Microsoft.Network för varje prenumeration där du distribuerar tjänsten. Om du inte registrerar den här funktionen misslyckas nätverksstegen senare i den här snabbstarten.

Important

Azure Payment HSM v2-teamet registrerar din Payment HSM v2-resurs. Registrera AllowPrivateEndpointsfunktionen själv på varje prenumeration där du distribuerar tjänsten. Registreringen kan ta några minuter att slutföra. Vänta tills funktionen visar ett registrerat tillstånd innan du fortsätter att skapa ett virtuellt klientnätverk och en privat DNS-zon.

Ange din prenumerationskontext, registrera funktionen och verifiera sedan registreringen.

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

Distribuera Azure Payment HSM v2

Skapa en HSM v2-instans för betalning

I följande exempel skapas en resursgrupp och en Betalning HSM v2-instans. Kör exemplet från katalogen som innehåller management-trusted-ca.pem och application-trusted-ca.pem. Ange prenumerationskontexten och uppdatera platsen, resursnamnet och resursgruppens namn så att de matchar din miljö.

Important

Välj ett unikt HSM-namn. Om du anger ett HSM-namn som redan finns i den valda regionen misslyckas distributionen.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Distribuera dina HSM v2-betalningsresurser i en separat resursgrupp från dina relaterade resurser för virtuella klientnätverk och virtuella datorer . Separata resursgrupper ger bättre hantering och säkerhetsisolering.

Skapa ett virtuellt klientnätverk och en privat DNS-zon

Distribuera ditt virtuella klientnätverk och virtuella dator i samma region som HSM-resursen. Uppdatera resursgruppen och de virtuella nätverksnamnen så att de matchar din miljö. I följande exempel skapas en resursgrupp, ett virtuellt nätverk med separata hanterings- och programundernät och en privat DNS-zon. Exemplet länkar sedan zonen till det virtuella nätverket.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Skapa en privat slutpunkt för Azure Payment HSM v2

Azure Payment HSM v2 exponerar två grupp-ID för privat länk: management på port 7005 och application på port 2200. Skapa en separat privat slutpunkt för varje grupp-ID med hjälp av motsvarande undernät från Skapa ett virtuellt klientnätverk och en privat DNS-zon. Skapa båda slutpunkterna för fullständig administratörs- och betalningsprogramåtkomst. Om du bara behöver administrativ åtkomst, till exempel för Utimaco Key Loading Device (KLD), skapar du bara hanteringsslutpunkten.

Skapa först båda privata slutpunkterna:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Anslut sedan båda slutpunkterna till den privata DNS-zonen så att deras värdnamn kan lösas upp från ditt virtuella nätverk:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Tips/Råd

Privata slutpunkter ansluter ditt virtuella nätverk till Azure Payment HSM v2 via Azure Private Link. Trafiken mellan det virtuella nätverket och tjänsten finns kvar i Microsoft nätverket. Den här privata anslutningen minskar exponeringen för det offentliga Internet, enligt beskrivningen i Nätverkssäkerhet för Azure Payment HSM v2.

Anslut till Azure Payment HSM v2

När du har etablerat din Payment HSM v2-instans och upprättat de privata slutpunkterna konfigurerar du anslutningen till både hanterings- och programgränssnitten i klustret Azure Payment HSM v2. Azure Private Link tillhandahåller anslutning från det virtuella nätverket. Om du vill ansluta från ett lokalt nätverk, inklusive KLD (Utimaco Key Loading Device), använder du ett virtuellt privat nätverk (VPN) eller en annan godkänd hybridanslutning. Enskilda arbetsstationer kan använda en punkt-till-plats-VPN- eller SSH-port (Secure Shell) vidarebefordran via en Azure virtuell dator.

Dokumentet APM on LS2 Operational Instructions i Utimaco-portalen innehåller detaljerade procedurer för installation, konfiguration, validering och felsökning. Åtkomst till dokumentet kräver ett aktivt Utimaco-portalkonto och registrering.

Important

Om du vill nå hanteringsgränssnittet utanför det Azure virtuella nätverket ansluter du via en godkänd VPN- eller SSH-tunnel. Tillhandahålla nätverksanslutning till hanteringsporten (7005) och programporten (2200) från auktoriserade hanteringsarbetsstationer och betalningsprogram.

Kundåtgärder

  1. Distribuera eller använda en befintlig Azure virtuell dator i ett Azure virtuellt nätverk för att få åtkomst till Azure Payment HSM v2-miljön.
  2. Anslut till HSM-hanteringsgränssnittet med hjälp av verktyget Utimaco Secure Configuration Assistant (SCA), C3 Key Loading Device (KLD) och administratör eller smartkort för säkerhetskopiering.
  3. Upprätta åtkomst till HSM-hanteringsporten via en godkänd anslutningsmetod, till exempel SSH-portvidarebefordring eller VPN.
  4. Verifiera lyckad anslutning till HSM-hanteringsgränssnittet och slutför de inledande HSM-administrationsuppgifterna.
  5. Anslut till HSM-programgränssnittet och verifiera programanslutningen med hjälp av befintliga betalningsprogram och testtransaktioner.

Information om hanteringsportar och programportar

Administrationsport: 7005 – Administrations- och hanteringsåtgärder.

  • mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, var <node-number> är 1, 2, eller 3

Programport: 2200 – Betalningsprogramdataplan för Atalla-kommandon och kryptografiska åtgärder.

  • app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, var <node-number> är 1, 2, eller 3

Distribuera en Azure virtuell dator i ett Azure virtuellt nätverk

Använd snabbstart: Skapa en virtuell Linux-dator i Azure-portalen för att distribuera en Azure virtuell dator som kör Ubuntu Server 22.04 LTS. Under nätverkskonfigurationen väljer du det virtuella klientnätverk och hanteringsundernät som du skapade tidigare.

Konfigurera VPN eller SSH-portvidarebefordran för att ansluta till din Payment HSM v2

Anslut till hanteringsgränssnittet för Azure Payment HSM v2 med någon av följande godkända metoder.

Plats-till-plats-VPN ansluten till det Azure virtuella nätverket som är värd för hanteringsslutpunkten:

Punkt-till-plats-VPN ansluten till det Azure virtuella nätverket som är värd för hanteringsslutpunkten:

SSH-lokal portvidarebefordring via en Azure virtuell dator (jump box) som distribueras i ditt Azure virtuella nätverk:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Ett exempel:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Relaterat innehåll

  • Uppdaterades senast