Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Azure Ödeme HSM v2, yönetim ve ödeme uygulaması trafiğini özel IP adreslerinde tutmak için özel uç noktaları kullanır. Bu makalede özel uç nokta yapılandırması, Etki Alanı Adı Sistemi (DNS) kurulumu, gerekli bağlantı noktaları, ağ güvenlik grubu (NSG) kuralları ve sanal makine (VM) yerleşimi açıklanmaktadır.
Genel ağ erişimi
Azure Ödeme HSM v2 yalnızca özel bağlantı üzerinden ulaşılacak şekilde tasarlanmıştır. Tüm trafiğin genel İnternet yerine özel uç noktalar üzerinden HSM'ye ulaşması için kümeyi genel ağ erişimi devre dışı bırakılmış olarak dağıtın.
Özel uç noktalar özelliğe bağlıdır AllowPrivateEndpoints . Önizleme sırasında Azure bu özelliği otomatik olarak kaydetmez. Hizmeti dağıttığınız her abonelikte, ağ kaynaklarını oluşturmadan önce Microsoft.Network kaynak sağlayıcısı için AllowPrivateEndpoints özelliğini kaydedin. Özelliği kaydetmezseniz özel uç nokta adımları başarısız olur.
- Kümeyi,
publicNetworkAccessDisabledolarak ayarlanmış şekilde dağıtın. Daha fazla bilgi için Ödeme HSM v2 örneği oluşturma bölümüne bakın. -
AllowPrivateEndpointsözelliğini her aboneliğe kaydedin. Daha fazla bilgi için bkz . AllowPrivateEndpoints özelliğini kaydetme.
Özel uç nokta
Azure Payment HSM v2, iki Azure Özel Bağlantı hedef alt kaynağını kullanıma sunar: management 7005 numaralı bağlantı noktasında ve application 2200 numaralı bağlantı noktasında. Uygun istemci alt ağındaki her arabirim için ayrı bir özel uç nokta oluşturun. Özel uç noktalar, sanal ağınızdan ve desteklenen karma ağlardan gelen bağlantılar için özel IP adresleri sağlar.
Sanal ağınız ile Azure Ödeme HSM v2 arasındaki trafik genel İnternet'ten geçiş yapmaz. Bu özel bağlantı internete maruz kalma oranını azaltır.
Dağıtım yönergeleri için bkz. Azure Ödeme HSM v2 için özel uç nokta oluşturma.
Özel DNS
Yönetim ve uygulama özel uç noktalarını oluşturduğunuzda, Azure Ödeme HSM v2 her HSM düğümüne her arabirim için aşağıdaki biçimde bir özel DNS ana bilgisayar adı atar:
Yönetim bağlantı noktası: 7005 - Yönetim ve yönetim işlemleri.
mgmt1.<pool-name>-<unique-string>.privatelink.phsm.azure.net
Uygulama bağlantı noktası: 2200 - Atalla komutları ve şifreleme işlemleri için ödeme uygulaması veri düzlemi.
app1.<pool-name>-<unique-string>.privatelink.phsm.azure.net
Sanal ağınızdaki bu konak adlarını çözümlemek için, için privatelink.phsm.azure.net özel bir DNS bölgesi yapılandırın ve bunu yönetici ve uygulama VM'lerinizi içeren sanal ağlara bağlayın. Bir özel DNS bölge grubu kullanarak her özel uç noktayı özel DNS bölgesiyle ilişkilendirin.
Gerekli bağlantı noktaları
Azure Ödeme HSM v2 aşağıdaki bağlantı noktalarını kullanır. Her istemci alt ağından ilgili özel uç nokta IP adresine giden TCP trafiğine izin verin.
| Port | Yön | Client | Purpose |
|---|---|---|---|
| 7005 | Giden (istemci → yönetim uç noktası) | Utimaco Secure Configuration Assistant (SCA) ve C3 Anahtar Yükleme Cihazı (KLD) | İdari ve yönetim işlemleri için yönetim bağlantı noktası. |
| 2200 | Giden (istemci → uygulama uç noktası) | Ödeme uygulaması | Atalla komutları ve şifreleme işlemleri için ASCII bağlantı noktası. |
NSG kuralları
NSG'leri olan alt ağlarda yönetici ve uygulama VM'lerini dağıttığınızda, ilgili özel uç nokta ve bağlantı noktası için her NSG'ye bir giden kuralı ekleyin. Örneğin:
| Priority | Name | Kaynak | Varış Noktası | Port | Protocol | Action |
|---|---|---|---|---|---|---|
| 100 | Allow-PHSM-Management |
VirtualNetwork |
<management-private-endpoint-IP> |
7005 | TCP | Allow |
| 110 | Allow-PHSM-Application |
VirtualNetwork |
<application-private-endpoint-IP> |
2200 | TCP | Allow |
Her hedef yer tutucuyu, ilgili Payment HSM v2 özel uç noktasına atanmış özel IP adresiyle değiştirin. Her kuralı yalnızca bu arabirime erişmesi gereken istemci alt ağıyla ilişkili NSG'ye uygulayın.
Sanal Makine (VM) yerleştirme
Yönetim özel uç noktasına bağlanabilen bir sanal ağda Azure VM oluşturun. İlk HSM kurulumu, kullanıcı yönetimi, anahtar yönetimi ve yedekleme işlemleri için Utimaco SCA'yı çalıştırmak için VM'yi kullanın.
Dağıtım örneği için bkz. Hızlı Başlangıç: Azure portalında Linux VM oluşturma.
Yönetici VM, yönetim özel uç noktasına ağ bağlantısı gerektirir.
Tavsiye
Ödeme HSM v2 kaynaklarını istemci VM'lerinden ve sanal ağdan ayrı bir kaynak grubuna yerleştirin. Bu ayrım, yaşam döngüsü yönetimini ve erişim denetimini basitleştirir.
Şirket içi bağlantı
şirket içi ağınızla özel uç noktaları içeren sanal ağ arasında sanal özel ağ (VPN) bağlantısı kurmak için Azure VPN Gateway kullanın:
- Siteden siteye VPN. Kalıcı şirket içi bağlantı için bu seçeneği kullanın. Kurulum yönergeleri için bkz. Öğretici: Azure portalında siteden siteye VPN bağlantısı oluşturma.
- Noktadan siteye VPN. Tek tek iş istasyonları veya daha küçük dağıtımlar için bu seçeneği kullanın. Daha fazla bilgi için bkz. Noktadan siteye VPN bağlantıları hakkında Azure.
Şirket içi istemcilerin HSM ana bilgisayar adlarını özel uç nokta IP adreslerine çözümlemesi için DNS yönlendirmesini veya Azure DNS Private Resolver'ı yapılandırın. Desteklenen desenler için bkz. Azure Özel Uç Nokta DNS tümleştirme senaryoları.