Azure Ödeme HSM v2 için kimlik doğrulaması ve erişim denetimi

Azure Payment HSM v2, iki ayrı denetim düzlemini korur: ödeme şifrelemesini işleyen HSM arabirimleri ve kümeyi temsil eden Azure kaynağı. İstemciler karşılıklı TLS üzerinden HSM arabirimlerinde kimlik doğrulaması yapar, yöneticiler Secure Configuration Assistant (SCA) aracılığıyla akıllı kartlarla HSM'de kimlik doğrulaması yapar ve Azure kaynağına erişimi Azure rol tabanlı erişim denetimi (RBAC) yönetir. Bu makalede her mekanizma açıklanmaktadır ve bunu uygulayan yordamlara bağlantılar verilmiştir.

Karşılıklı TLS ile istemci kimlik doğrulaması

Azure Ödeme HSM v2 bir yönetim arabirimi ve uygulama arabirimi sunar ve her ikisi de karşılıklı olarak kimliği doğrulanmış TLS gerektirir. Her arabirim, kümeyi dağıtırken sağladığınız bir sertifika yetkilisi (CA) sertifikasına güvenir ve istemciler bağlanmak için bu CA'dan verilen sertifikaları sunar.

  • NIST P-256 eğrisi üzerinde kendinden imzalı bir kök CA kullanın. Her güvenilir düzenleyici, anahtarı NIST P-256 (prime256v1) eğrisi üzerinde bir eliptik eğri (EC) açık anahtarı olan, kendinden imzalı bir kök CA sertifikası olmalıdır. Azure Ödeme HSM v2 ara CA sertifikalarını veya diğer şifreleme algoritmalarını veya anahtar türlerini desteklemez. Daha fazla bilgi için bkz. İstemci güveni oluşturma.

  • Yönetim ve uygulama arabirimleri için ayrı güven bağlantıları sağlayın. Yönetim erişimi ve ödeme uygulaması erişiminin bağımsız sertifika zincirlerine dayanması için kümeyi oluştururken ayrı bir yönetim-bağlantı noktası güvenilen vereni ve uygulama-bağlantı noktası güvenilen vereni sağlayın. Daha fazla bilgi için Ödeme HSM v2 örneği oluşturma bölümüne bakın.

  • Çalışmadan önce karşılıklı TLS'nin etkin olduğunu onaylayın. SCA, karşılıklı olarak kimliği doğrulanmış bir oturum oluşturulduğunda bir bağlantı simgesi ve yeşil kilit simgesi gösterir. Kümeyi yönetmeden önce bu göstergeleri doğrulayın. Daha fazla bilgi için bkz. Azure Ödeme HSM v2 hakkında sık sorulan sorular.

HSM yönetici kimlik bilgileri

Yöneticiler Utimaco SCA ve fiziksel kimlik bilgileriyle HSM'yi yönetir. Bu kimlik bilgilerinin ele geçirilmesi, yönetici erişimi ve anahtar yükleme erişimi sağlar; bu nedenle bunları diğer yüksek değerli sırlar gibi koruyun.

  • HSM'yi SCA, akıllı kartlar ve C3 Anahtar Yükleme Cihazı (KLD) ile yönetme. SCA'yı yönetici ve yedekleme akıllı kartlarıyla ve HSM kurulumu, kullanıcı yönetimi, anahtar yönetimi ve yedekleme işlemleri için C3 KLD ile kullanın. Daha fazla bilgi için bkz. Azure Ödeme HSM v2'ye bağlanma.

  • Kimlik bilgileri yönetimi ilkenize göre akıllı kartları ve KLD'yi depolayın. Yönetici ve yedek akıllı kartlar ile C3 KLD, yönetim ve anahtar yükleme işlemlerinde kimlik doğrulaması sağlar; bu nedenle bunlara fiziksel erişimi sınırlandırın ve güvenli biçimde saklayın. Daha fazla bilgi için bkz. Azure Ödeme HSM v2 işlemlerini gerçekleştirme.

  • Güvenlik ilişkilendirmeleri ve kullanım ilkeleri aracılığıyla en az ayrıcalık uygulayın. HSM'yi bir güvenlik ilişkisiyle başlatın ve yöneticilerin ve uygulamaların yalnızca görevlerinin gerektirdiği izinleri alması için kullanım ilkeleri tanımlayın. Daha fazla bilgi için bkz. Azure Ödeme HSM v2 işlemlerini gerçekleştirme.

Azure erişim denetimi

Kümeyi temsil eden Azure kaynağına erişim HSM yönetiminden ayrıdır. Kümeyi ve bağımlı ağ kaynaklarını kimlerin oluşturup yönetebileceğini denetlemek için Azure RBAC kullanın.

  • Kümeyi yönetmek için en az ayrıcalık izinleri verin. Kaynağı, özel uç noktaları, özel DNS bölgelerini ve hizmetin gerektirdiği abonelik özelliği kaydını oluşturmak ve yönetmek paymentHsmClusters için gereken Azure izinlerini yalnızca güvenilen kimliklere verin. Daha fazla bilgi için bkz . Ortamınızı hazırlama.

İlgili içerik

  • Son güncelleştirme: