Öğretici: PowerShell kullanarak HSM'leri mevcut bir sanal ağa dağıtma

Important

Azure Ayrılmış HSM emekliye ayrılıyor. Microsoft, 31 Temmuz 2028'e kadar mevcut Ayrılmış HSM müşterilerini tam olarak destekleyecektir. Yeni müşteri eklemeleri kabul edilmez. Tüm ayrıntılar ve gerekli eylemler için resmi Azure güncelleştirmesi bölümüne bakın.

Azure Ayrılmış HSM kullanıcısıysanız Azure Ayrılmış HSM'den Yönetilen HSM'ye veya Azure Cloud HSM'ye geçiş konusuna bakın. Azure Cloud HSM artık genel kullanıma sunuldu ve Azure Ayrılmış HSM'nin ardılı oldu.

Yeni müşteriler, iş yükü gereksinimlerine göre Azure Cloud HSM, Managed HSM veya Azure Key Vault değerlendirmeleri ve eklemeleri gerekir. Rehberlik için bkz. Doğru Azure anahtar yönetimi çözümünü seçme.

Azure Ayrılmış HSM Hizmeti, tam idari kontrol ve tam yönetim sorumluluğu ile yalnızca tek bir müşterinin kullanımına yönelik fiziksel bir cihaz sağlar. Hizmet fiziksel donanım sağladığından, Microsoft etkin kapasite yönetimi sağlamak için bu cihazları nasıl tahsis ettiğini denetler. Sonuç olarak, bir Azure aboneliğinde Ayrılmış HSM hizmeti normalde kaynak sağlama için görünmez. Dedicated HSM hizmetine erişmek için Microsoft hesabı yöneticinize başvurarak Dedicated HSM hizmetine kayıt isteğinde bulunmanız gerekir. Hizmeti ancak bu işlem başarıyla tamamlandıktan sonra etkinleştirebilirsiniz.

Bu kılavuz, tipik bir sağlama sürecini göstermeyi amaçlar:

  • Müşterinin zaten bir sanal ağı var
  • Sanal makinesi var
  • Mevcut ortama HSM kaynakları eklemeleri gerekir.

Tipik, yüksek kullanılabilirlik, çok bölgeli dağıtım mimarisi aşağıdaki gibidir:

Çok bölgeli dağıtımı gösteren diyagram.

Bu öğreticide, bir çift HSM ve gerekli ExpressRoute ağ geçidinin (yukarıdaki Alt Ağ 1'e bakın) mevcut bir sanal ağ ile tümleştirilmesine (yukarıdaki VNET 1'e bakın) odaklanılır. Diğer tüm kaynaklar standart Azure kaynaklardır. Aynı tümleştirme işlemi, yukarıdaki VNET 3'teki alt ağ 4'teki HSM'ler için de kullanılabilir.

Note

Azure ile etkileşim kurmak için Azure Az PowerShell modülünü kullanmanızı öneririz. Başlamak için bkz. Azure PowerShell'i yükleme. Az PowerShell modülüne nasıl geçeceğinizi öğrenmek için bkz. Azure PowerShell’i AzureRM’den Az’ye geçirme.

Prerequisites

Azure Ayrılmış HSM şu anda Azure portalında kullanılamadığından, hizmetle tüm etkileşimler komut satırı veya PowerShell kullanılarak gerçekleştirilir. Bu öğreticide Azure Cloud Shell içinde PowerShell kullanılır. PowerShell'i kullanmaya yeni başladıysanız buradaki başlangıç yönergelerini izleyin: Azure PowerShell'e Başlarken.

Varsayımlar:

  • Azure Ayrılmış HSM için onboarding sürecine uygun olmak ve kullanmak için size atanmış bir Microsoft Hesap Yöneticiniz olmalıdır.
  • Azure Ayrılmış HSM kayıt sürecini tamamladınız ve hizmetin kullanımı için onaylandınız. Aksi takdirde, ayrıntılar için Microsoft hesabı temsilcinize başvurun.
  • Bu kaynaklar ve bu öğreticide dağıtılan yeni kaynaklar için bir Kaynak Grubu oluşturdunuz.
  • Gerekli sanal ağı, alt ağı ve sanal makineleri zaten oluşturdunuz ve şimdi 2 HSM'yi bu dağıtımla tümleştirmek istiyorsunuz.

Aşağıdaki yönergelerde, Azure portalında olduğunuz ve Cloud Shell’i açmış olduğunuz varsayılır (portalın sağ üst kısmındaki ">_" öğesini seçin).

Özel HSM sağlama

HSM'lerin sağlanması ve ExpressRoute ağ geçidi aracılığıyla mevcut bir sanal ağ ile tümleştirilmesi, daha fazla yapılandırma etkinliği için HSM cihazının erişilebilirliğini ve temel kullanılabilirliğini sağlamak üzere ssh komut satırı aracı kullanılarak doğrulanır. Aşağıdaki komutlar, HSM kaynaklarını ve ilişkili ağ kaynaklarını oluşturmak için bir Resource Manager şablonu kullanır.

Özellik Kaydını Doğrulama

Belirtildiği gibi, herhangi bir tedarik etkinliği, Ayrılmış HSM hizmetinin aboneliğiniz için kaydedilmesini gerektirir. Bunu doğrulamak için Azure portalındaki Cloud Shell'de aşağıdaki PowerShell komutunu çalıştırın.

Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm

Daha fazla ilerlemeden önce komutun "Kayıtlı" durumunu döndürmesi gerekir. Bu hizmete kayıtlı değilseniz Microsoft hesabı temsilcinize başvurun.

Abonelik durumu.

HSM kaynakları oluşturma

Bir HSM cihazı, bir alt ağ gerektiren müşterinin sanal ağına yerleştirilir. HSM'nin sanal ağ ile fiziksel cihaz arasında iletişim kurabilmesi için gerekli bileşen bir ExpressRoute ağ geçididir ve son olarak, Thales istemci yazılımını kullanarak HSM cihazına erişmek için bir sanal makine gereklidir.

Aşağıdaki örneği temel alan bir ARM şablonu kullanarak Ayrılmış HSM kaynağı oluşturabilirsiniz. "value":"" içeren satırları tercih ettiğiniz kaynak adlarıyla değiştirerek parametreleri güncelleştirmeniz gerekir.

  • namingInfix HSM kaynaklarının adları için ön ek
  • ExistingVirtualNetworkName HSM'ler için kullanılan sanal ağın adı
  • DedicatedHsmResourceName1 Veri merkezi damgası 1'deki HSM kaynağının adı
  • DedicatedHsmResourceName2 Veri merkezi damgası 2'deki HSM kaynağının adı
  • hsmSubnetRange HSM'ler için alt ağ IP Adresi aralığı
  • ERSubnetRange VNET ağ geçidi için alt ağ IP Adresi aralığı

Bu değişikliklere örnek olarak şunlar verilmiştir:

{
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "namingInfix": {
      "value": "MyHSM"
    },
    "ExistingVirtualNetworkName": {
      "value": "MyHSM-vnet"
    },
    "DedicatedHsmResourceName1": {
      "value": "HSM1"
    },
    "DedicatedHsmResourceName2": {
      "value": "HSM2"
    },
    "hsmSubnetRange": {
      "value": "10.0.2.0/24"
    },
    "ERSubnetRange": {
      "value": "10.0.255.0/26"
    },
  }
}

İlişkili Resource Manager şablon dosyası şu bilgilerle altı kaynak oluşturur:

  • Belirtilen VNET'teki HSM'ler için bir alt ağ
  • Sanal ağ geçidi için alt ağ
  • VNET'i HSM cihazlarına bağlayan sanal ağ geçidi
  • Ağ geçidi için genel IP adresi
  • Damga 1'de bir HSM
  • Damga 2'de bir HSM

Parametre değerleri ayarlandıktan sonra dosyaların kullanılmak üzere Azure portalındaki Cloud Shell dosya paylaşımına yüklenmesi gerekir. Azure portalında ekranın alt kısmını komut ortamı yapan sağ üstteki ">_" Cloud Shell simgesini seçin. Seçenekler BASH ve PowerShell'tir ve henüz ayarlanmadıysa BASH'i seçmeniz gerekir.

Şablon ve parametre dosyalarını dosya paylaşımınıza yüklemek için araç çubuğundaki karşıya yükleme/indirme seçeneğini belirleyin:

Dosya paylaşımı.

Dosyalar karşıya yüklendikten sonra kaynak oluşturmaya hazırsınız demektir.

Yeni HSM kaynakları oluşturmadan önce gerekli bazı önkoşul kaynakları vardır. İşlem kaynakları, HSM'ler ve ağ geçidi için alt ağ aralıklarına sahip bir sanal ağınız olmalıdır. Aşağıdaki komutlar, böyle bir sanal ağı oluşturacak olanı gösteren bir örnek olarak görev yapar.

$compute = New-AzVirtualNetworkSubnetConfig `
  -Name compute `
  -AddressPrefix 10.2.0.0/24

$delegation = New-AzDelegation `
  -Name "myDelegation" `
  -ServiceName "Microsoft.HardwareSecurityModules/dedicatedHSMs"


$hsmsubnet = New-AzVirtualNetworkSubnetConfig ` 
  -Name hsmsubnet ` 
  -AddressPrefix 10.2.1.0/24 ` 
  -Delegation $delegation 



$gwsubnet= New-AzVirtualNetworkSubnetConfig `
  -Name GatewaySubnet `
  -AddressPrefix 10.2.255.0/26



New-AzVirtualNetwork `
  -Name myHSM-vnet `
  -ResourceGroupName myRG `
  -Location westus `
  -AddressPrefix 10.2.0.0/16 `
  -Subnet $compute, $hsmsubnet, $gwsubnet

Note

Sanal ağ için dikkat edilmesi gereken en önemli yapılandırma, HSM cihazının alt ağında yetkilendirmelerin "Microsoft.HardwareSecurityModules/dedicatedHSMs" olarak ayarlanmış olması gerektiğidir. Aksi takdirde HSM provizyonlaması çalışmaz.

Tüm önkoşullar yerine getirildikten ve Resource Manager şablonunu benzersiz adlarınızla (en azından kaynak grubu adıyla) güncelledikten sonra aşağıdaki komutu çalıştırın:


New-AzResourceGroupDeployment -ResourceGroupName myRG `
     -TemplateFile .\Deploy-2HSM-toVNET-Template.json `
     -TemplateParameterFile .\Deploy-2HSM-toVNET-Params.json `
     -Name HSMdeploy -Verbose

Bu komutun tamamlanması yaklaşık 20 dakika sürmelidir. Kullanılan "-verbose" seçeneği, durumun sürekli görüntülenmesini sağlar.

Özel HSM dağıtma.

Başarıyla tamamlandığında, "provisioningState": "Succeeded" ile gösterildiği gibi, mevcut sanal makinenizde oturum açabilir ve HSM cihazının kullanılabilirliğini sağlamak için SSH kullanabilirsiniz.

Dağıtımı Doğrulama

Cihazların provizyona alındığını doğrulamak ve cihaz özniteliklerini görmek için aşağıdaki komut kümesini çalıştırın. Kaynak grubunun uygun şekilde ayarlandığından ve kaynak adının parametre dosyasındaki gibi olduğundan emin olun.


$subid = (Get-AzContext).Subscription.Id
$resourceGroupName = "myRG"
$resourceName = "HSM1"  
Get-AzResource -Resourceid /subscriptions/$subId/resourceGroups/$resourceGroupName/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/$resourceName

Provizyon durumu.

Artık Azure kaynak gezginini kullanarak da kaynakları görebilirsiniz. Gezgine girdikten sonra, sol taraftaki "abonelikler"i genişletin, Ayrılmış HSM için özel aboneliğinizi genişletin, "kaynak grupları"nı genişletin, kullandığınız kaynak grubunu genişletin ve son olarak "kaynaklar" öğesini seçin.

Dağıtımı Test Etme

Dağıtımı test etmek, HSM'lere erişebilen bir sanal makineye bağlanma ve ardından doğrudan HSM cihazına bağlanma durumudur. Bu eylemler HSM'nin erişilebilir olduğunu doğrular. Ssh aracı sanal makineye bağlanmak için kullanılır. Komut, aşağıdakine benzer olacaktır, ancak parametrede belirttiğiniz yönetici adı ve DNS adıyla.

ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com

Kullanılacak parola, parametre dosyasındaki paroladır. Linux VM'sinde oturum açtıktan sonra, kaynak <prefix>hsm_vnic için portalda bulunan özel IP adresini kullanarak HSM'de oturum açabilirsiniz.


(Get-AzResource -ResourceGroupName myRG -Name HSMdeploy -ExpandProperties).Properties.networkProfile.networkInterfaces.privateIpAddress

IP adresine sahip olduğunuzda aşağıdaki komutu çalıştırın:

ssh tenantadmin@<ip address of HSM>

Başarılı olursa bir parola girmeniz istenir. Varsayılan parola PASSWORD'dür. HSM, parolanızı değiştirmenizi ister, bu nedenle güçlü bir parola ayarlayın ve kuruluşunuzun parolayı depolamak ve kaybı önlemek için tercih ettiği mekanizmayı kullanın.

Important

Bu parolayı kaybederseniz HSM'nin sıfırlanması gerekir ve bu da anahtarlarınızı kaybetmeniz anlamına gelir.

SSH kullanarak HSM cihazına bağlandığınızda, HSM'nin çalışır durumda olduğundan emin olmak için aşağıdaki komutu çalıştırın.

hsm show

Çıktı aşağıda gösterilen görüntüye benzer olmalıdır:

HSM show komutunun çıkışını gösteren ekran görüntüsü.

Bu noktada, yüksek erişilebilirlikli iki HSM’li dağıtım için tüm kaynakları ayırmış ve erişim ile operasyonel durumu doğrulamış olursunuz. Daha fazla yapılandırma veya test, HSM cihazının kendisiyle daha fazla çalışma gerektirir. Bunun için HSM'yi başlatmak ve bölümler oluşturmak için Thales Luna 7 HSM Yönetim Kılavuzu 7. bölümdeki yönergeleri izlemeniz gerekir. Thales müşteri destek portalına kaydolup Müşteri Kimliğine sahip olduğunuzda tüm belgeler ve yazılımlar doğrudan Thales'ten indirilebilir. Tüm gerekli bileşenleri almak için İstemci Yazılımı sürüm 7.2'yi indirin.

Kaynakları silin veya temizleyin

Yalnızca HSM cihazıyla işiniz bittiyse, kaynak olarak silinebilir ve ücretsiz havuza döndürülebilir. Bunu yaparken en belirgin endişe, cihazdaki hassas müşteri verileridir. Bir cihazı "sıfırlamanın" en iyi yolu, HSM yönetici parolasını üç kez yanlış girmektir (not: Bunun kastedilen cihaz yöneticisi değil, gerçek HSM yönetici parolası olduğuna dikkat edin). Anahtar materyalini korumaya yönelik bir güvenlik önlemi olarak cihaz, sıfırlama uygulanmış durumda olana kadar Azure kaynağı olarak silinemez.

Note

Herhangi bir Thales cihazı yapılandırmasıyla ilgili bir sorununuz varsa Thales müşteri desteğine başvurmanız gerekir.

Azure'da HSM kaynağını kaldırmak istiyorsanız, "$" değişkenlerini benzersiz parametrelerinizle değiştirerek aşağıdaki komutu kullanabilirsiniz:


$subid = (Get-AzContext).Subscription.Id
$resourceGroupName = "myRG" 
$resourceName = "HSMdeploy"  
Remove-AzResource -Resourceid /subscriptions/$subId/resourceGroups/$resourceGroupName/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/$resourceName

Sonraki Adımlar

Öğreticideki adımları tamamladıktan sonra Ayrılmış HSM kaynakları sanal ağınızda sağlanır ve kullanılabilir. Artık bu dağıtıma, tercih ettiğiniz dağıtım mimarisinin gerektirdiği şekilde, daha fazla kaynak ekleyebilecek bir konumdasınız. Dağıtımınızı planlamaya yardımcı olma konusunda daha fazla bilgi için bkz. Kavramlar belgeleri. Birincil bölgede raf düzeyinde kullanılabilirliği ele alan iki HSM ve bölgesel kullanılabilirliği ele alan ikincil bölgede iki HSM içeren bir tasarım önerilir. Bu öğreticide kullanılan şablon dosyası, iki HSM dağıtımı için kolayca temel olarak kullanılabilir, ancak gereksinimlerinizi karşılamak için parametrelerinin değiştirilmesi gerekir.

  • Son güncelleştirme: