Hızlı Başlangıç: Azure Ödeme HSM v2 oluşturma

Azure Ödeme HSM v2, ödeme işleme, kimlik bilgisi verme, PIN işleme, anahtar yönetimi ve kimlik doğrulaması veri koruması için yüksek oranda kullanılabilir, tek kiracılı bir ödeme donanım güvenlik modülüdür (HSM). Azure Ödeme HSM v2, hizmet sağlayıcılarının ve finans kurumlarının ödeme sistemlerini modernleştirmesine ve genel bulutu benimsemesine yardımcı olur. Daha fazla bilgi için bkz. Azure Ödeme HSM v2 nedir?

Bu hızlı başlangıçta, özel sanal ağınızda bir Azure Ödeme HSM v2 kümesinin nasıl eklenip dağıtılacağı açıklanmaktadır.

Prerequisites

Ortamınızı hazırlama

Azure Cloud Shell kullanın veya Azure PowerShell yükleyin. Azure PowerShell yerel olarak kullanıyorsanız Azure oturum açın.
Sertifikayı oluşturmak için OpenSSL'yi yükleyin.
Kaynak grupları, sanal ağlar, özel uç noktalar, özel Etki Alanı Adı Sistemi (DNS) bölgeleri ve Ödeme HSM v2 kaynakları oluşturma iznine sahip bir kimlik kullanın. Kimliğin Azure abonelik özelliklerini kaydetmek için de izni olması gerekir.
Önizleme sırasında, Ödeme HSM v2'yi yalnızca Batı ABD veya Batı Avrupa bölgesinde dağıtın.

Azure ve Utimaco hesapları oluşturma

Azure Payment HSM v2’yi kullanıma almadan önce, kuruluşunuzun etkin bir Azure hesabına ve aboneliğine sahip olduğunu ve ayrıca kayıtlı bir Utimaco Support Portal hesabının bulunduğunu doğrulayın. Kaynak sağlamak, yazılım ve belgelere erişmek ve ekleme desteği almak için bu hesaplara ihtiyacınız vardır.

Azure hesabı

Azure Ödeme HSM v2'yi eklemeden önce etkin bir Azure hesabınız ve Azure aboneliğiniz olmalıdır. Azure hesabınız yoksa başlamadan önce ücretsiz bir hesap oluşturun.

Utimaco hesabı

Azure Payment HSM v2’nin ilk kurulumu, kaynak sağlanmadan önce etkin bir Utimaco hesabı ve yetkilendirme gerektirir. Genel önizleme sırasında, Microsoft ekleme isteğinizi onayladıktan sonra Microsoft sizi Utimaco Azure ekibine bağlar. Ekip, ekleme işlemini tamamlamak için doğrudan sizinle birlikte çalışır. Yeni Utimaco hesap isteklerinin işlenmesi ve etkinleştirilmesi 48 saate kadar sürebilir. Utimaco hesabınız yoksa yönergeler için utimaco portalında hesap oluşturma bölümüne bakın.

Uyum süreci karşılama paketini alın ve doğrulayın

Utimaco, Azure Ödeme HSM v2 ekleme için gereken karşılama paketini sağlar. Paket Secure Configuration Assistant (SCA) uygulamasını, C3 Anahtar Yükleme Cihazı'nı (KLD), akıllı kartları ve ilgili ekleme malzemelerini içerir. Başlangıç kurulum işlemlerine devam etmeden önce paket içeriğinin tamamını teslim aldığınızı doğrulayın.

Müşteri eylemleri

Katılım karşılama paketinin ve dahil edilen tüm malzemelerin teslim alınıp alınmamış olduğunu onaylayın.
SCA uygulamasının, C3 KLD'nin, akıllı kartların ve destekleyici belgelerin teslimini doğrulayın.
Sonraki ekleme adımına geçmeden önce paket alındı bildirimini hem Microsoft hem de Utimaco'ya gönderin.

İstemci güveni oluşturma

Ortamınız ile Azure Ödeme HSM v2 arasında karşılıklı güven oluşturmak için, yönetim arabirimi ve uygulama arabirimi için bir güvenilen sertifika yetkilisi (CA) sertifikası yapılandırın. İstemci kimlik doğrulaması ve Azure Ödeme HSM v2 ile güvenli, karşılıklı olarak kimliği doğrulanmış bağlantı kurmak için bu sertifikaları kullanın. Kendinden imzalı kök CA sertifikaları oluşturun ve her sertifikanın Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) P-256 eğrisi üzerinde bir eliptik eğri (EC) açık anahtarı kullandığını onaylayın. Sertifika oluşturmak için aşağıdaki örneği kullanın.

Ayrı yönetim ve uygulama güven tutturucuları ve hizmetin neden yalnızca otomatik olarak imzalanan P-256 kök CA'ları desteklediği de dahil olmak üzere bu sertifikaların arkasındaki güven modeli için bkz. Azure Ödeme HSM v2 için kimlik doğrulaması ve erişim denetimi.

CA kimlik doğrulama sertifikaları oluşturma

Aşağıdaki OpenSSL komutlarını kullanarak eliptik eğri anahtar çiftleri oluşturun ve otomatik olarak imzalanan CA sertifikaları oluşturun.

Önemli

Her güvenilir düzenleyici sertifika için kendinden imzalı bir kök CA kullanın. Sertifika, NIST P-256 (prime256v1) eğrisinde bir EC ortak anahtarı kullanmalıdır. Azure Ödeme HSM v2, ara CA sertifikalarını veya diğer şifreleme algoritmalarını veya anahtar türlerini kullanan sertifikaları desteklemez.

Yönetim bağlantı noktası için güvenilen CA'lar certs-mgmt/ içine yerleştirilir.
Uygulama bağlantı noktası için güvenilen CA'ler certs/ içinde bulunur.

CA anahtarları ve otomatik olarak imzalanan sertifikalar oluşturma

openssl ecparam -list_curves
openssl ecparam -genkey -name prime256v1 -out management-ca.key
openssl req -x509 -new -SHA384 -nodes -key management-ca.key -days 3650 -out management-trusted-ca.pem
openssl ecparam -genkey -name prime256v1 -out application-ca.key
openssl req -x509 -new -SHA384 -nodes -key application-ca.key -days 3650 -out application-trusted-ca.pem

AllowPrivateEndpoints özelliğini kaydetme

Azure Ödeme HSM v2 için özel bir uç nokta gerekir. Genel önizleme sırasında Azure bu özelliği otomatik olarak kaydetmez. Hizmeti dağıttığınız her abonelikte, Microsoft.Network kaynak sağlayıcısı için AllowPrivateEndpoints özelliğini kaydedin. Bu özelliği kaydetmezseniz, bu hızlı başlangıcın ilerleyen bölümlerindeki ağ adımları başarısız olur.

Önemli

Azure Ödeme HSM v2 ekibi, Ödeme HSM v2 kaynağınızı kaydeder. Hizmeti dağıttığınız her abonelikte AllowPrivateEndpoints özelliğini kendiniz kaydedin. Kaydın tamamlanması birkaç dakika sürebilir. İstemci sanal ağı ve özel DNS bölgesi oluşturmaya devam etmeden önce özellik Kayıtlı durumunu gösterene kadar bekleyin.

Abonelik bağlamınızı ayarlayın, özelliği kaydedin ve kaydı doğrulayın.

Azure PowerShell
Azure CLI

# Set your subscription context
Set-AzContext -Subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
Register-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network"

# Verify the registration state (wait until it shows "Registered")
Get-AzProviderFeature -FeatureName "AllowPrivateEndpoints" -ProviderNamespace "Microsoft.Network" |
    Select-Object -ExpandProperty RegistrationState

# Set your subscription context
az account set --subscription "<subscription-id>"

# Register the AllowPrivateEndpoints feature
az feature register --namespace Microsoft.Network --name AllowPrivateEndpoints

# Verify the registration state (wait until it shows "Registered")
az feature show --namespace Microsoft.Network --name AllowPrivateEndpoints --query properties.state --output tsv

Azure Ödeme HSM v2'yi dağıtma

Ödeme HSM v2 örneği oluşturma

Aşağıdaki örnek bir kaynak grubu ve bir Payment HSM v2 örneği oluşturur. ve application-trusted-ca.pemiçeren management-trusted-ca.pem dizinden örneği çalıştırın. Abonelik bağlamını ayarlayın ve ortamınızla eşleşecek şekilde konumu, kaynak adını ve kaynak grubu adını güncelleştirin.

Önemli

Benzersiz bir HSM adı seçin. Seçilen bölgede zaten var olan bir HSM adı belirtirseniz dağıtımınız başarısız olur.

# Convert the PEM certificates to the Base64-encoded values required by the resource provider
$managementCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "management-trusted-ca.pem")
)
$managementTrustedIssuer = [Convert]::ToBase64String($managementCertificate.RawData)

$applicationCertificate = [System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromPem(
    (Get-Content -Raw "application-trusted-ca.pem")
)
$applicationTrustedIssuer = [Convert]::ToBase64String($applicationCertificate.RawData)

# Define variables for your Payment HSM v2 deployment
$server = @{
    Location = "<region-name>"
    Sku = @{ Family = "B"; Name = "Payments_v2" }
    ResourceName = "<hsm-name>"
    ResourceType = "Microsoft.HardwareSecurityModules/paymentHsmClusters"
    ResourceGroupName = "<hsm-resource-group-name>"
    ApiVersion = "2025-12-01-preview"
    Properties = @{
        autoGeneratedDomainNameLabelScope = "TenantReuse"
        applicationTrustedIssuer          = $applicationTrustedIssuer
        managementTrustedIssuer           = $managementTrustedIssuer
        publicNetworkAccess               = "Disabled"
    }
    Force = $true
}

# Create the HSM cluster resource group
New-AzResourceGroup -Name $server.ResourceGroupName -Location $server.Location -Force

# Create the HSM cluster and retain its resource ID for the private endpoints
$hsm = New-AzResource @server -Verbose

Note

Ödeme HSM v2 kaynaklarınızı ilgili istemci sanal ağınızdan ve sanal makine (VM) kaynaklarınızdan ayrı bir kaynak grubunda dağıtın. Ayrı kaynak grupları daha iyi yönetim ve güvenlik yalıtımı sağlar.

İstemci sanal ağı ve özel DNS bölgesi oluşturma

İstemci sanal ağınızı ve VM'nizi HSM kaynağınızla aynı bölgeye dağıtın. Kaynak grubunu ve sanal ağ adlarını ortamınızla eşleşecek şekilde güncelleştirin. Aşağıdaki örnek bir kaynak grubu, ayrı yönetim ve uygulama alt ağlarına sahip bir sanal ağ ve özel bir DNS bölgesi oluşturur. Örnek daha sonra bölgeyi sanal ağa bağlar.

$client = @{
    Location              = $server.Location
    ResourceGroupName     = "<client-resource-group-name>"
    ZoneName              = "privatelink.phsm.azure.net"
    VirtualNetworkName    = "<virtual-network-name>"
    ManagementSubnetName  = "management"
    ApplicationSubnetName = "application"
}

# Create the client resource group
New-AzResourceGroup -Name $client.ResourceGroupName -Location $client.Location -Force

# Create the virtual network
$vnet = New-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName -Location $client.Location -AddressPrefix "10.0.0.0/16"

# Add the management subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ManagementSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.2.0/24"

# Add the application subnet
$vnet = Add-AzVirtualNetworkSubnetConfig -Name $client.ApplicationSubnetName -VirtualNetwork $vnet -AddressPrefix "10.0.3.0/24"

# Commit the subnet configuration
$vnet = Set-AzVirtualNetwork -VirtualNetwork $vnet

# Retrieve the created subnet objects for use when you create the private endpoints later in this quickstart
$vnet = Get-AzVirtualNetwork -Name $client.VirtualNetworkName -ResourceGroupName $client.ResourceGroupName
$managementSubnet = $vnet.Subnets | Where-Object Name -eq $client.ManagementSubnetName
$applicationSubnet = $vnet.Subnets | Where-Object Name -eq $client.ApplicationSubnetName

# Create the private DNS zone and link it to the virtual network
$zone = New-AzPrivateDnsZone -ResourceGroupName $client.ResourceGroupName -Name $client.ZoneName
New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $client.ResourceGroupName -ZoneName $client.ZoneName -Name "privateDnsLink" -VirtualNetworkId $vnet.Id -EnableRegistration:$false

Azure Ödeme HSM v2 için özel uç nokta oluşturma

Azure Payment HSM v2, application için 7005 numaralı bağlantı noktasında ve management için 2200 numaralı bağlantı noktasında iki özel bağlantı grup kimliğini kullanıma sunar. İstemci sanal ağı ve özel DNS bölgesi oluşturma bölümünden ilgili alt ağı kullanarak her grup kimliği için ayrı bir özel uç nokta oluşturun. Tam yönetim ve ödeme uygulaması erişimi için her iki uç noktayı da oluşturun. Utimaco Anahtar Yükleme Cihazı (KLD) gibi yalnızca yönetim erişimine ihtiyacınız varsa, yalnızca yönetim uç noktasını oluşturun.

İlk olarak, her iki özel uç noktayı da oluşturun:

# Management endpoint (port 7005) - also used by the Utimaco Key Loading Device (KLD)
$managementConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-management-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "management"

$managementEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-management-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $managementSubnet `
    -PrivateLinkServiceConnection $managementConnection

# Application endpoint (port 2200) - payment application data plane
$applicationConnection = New-AzPrivateLinkServiceConnection `
    -Name "$($server.ResourceName)-application-connection" `
    -PrivateLinkServiceId $hsm.ResourceId `
    -GroupId "application"

$applicationEndpoint = New-AzPrivateEndpoint `
    -Name "$($server.ResourceName)-application-pe" `
    -ResourceGroupName $client.ResourceGroupName `
    -Location $client.Location `
    -Subnet $applicationSubnet `
    -PrivateLinkServiceConnection $applicationConnection

Ardından, her iki uç noktayı da özel DNS bölgesine bağlayın; böylece ana bilgisayar adları sanal ağınızdan çözümlensin:

$zoneConfig = New-AzPrivateDnsZoneConfig `
    -Name "phsmv2-private-dns-config" `
    -PrivateDnsZoneId $zone.ResourceId

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $managementEndpoint.Name `
    -Name "management-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

New-AzPrivateDnsZoneGroup `
    -ResourceGroupName $client.ResourceGroupName `
    -PrivateEndpointName $applicationEndpoint.Name `
    -Name "application-phsmv2-private-dns-zone-group" `
    -PrivateDnsZoneConfig $zoneConfig

Tavsiye

Özel uç noktalar sanal ağınızı Azure Özel Bağlantı aracılığıyla Azure Ödeme HSM v2'ye bağlar. Sanal ağınız ile hizmet arasındaki trafik Microsoft ağda kalır. Bu özel bağlantı, Azure Ödeme HSM v2 için ağ güvenliği bölümünde açıklandığı gibi genel İnternet'e erişimi azaltır.

Azure Ödeme HSM v2'ye bağlanma

Payment HSM v2 örneğinizi sağladıktan ve özel uç noktaları oluşturduktan sonra, Azure Payment HSM v2 kümesinin hem yönetim hem de uygulama arabirimlerine bağlantıyı ayarlayın. Azure Özel Bağlantı sanal ağdan bağlantı sağlar. Utimaco Anahtar Yükleme Cihazı (KLD) dahil olmak üzere bir şirket içi ağdan bağlanmak için siteden siteye sanal özel ağ (VPN) veya başka bir onaylı karma bağlantı kullanın. Tek tek iş istasyonları, bir Azure VM aracılığıyla noktadan siteye VPN veya Secure Shell (SSH) bağlantı noktası iletme kullanabilir.

Utimaco portalındaki LS2 İşlem Yönergeleri üzerinde APM belgesi ayrıntılı yükleme, yapılandırma, doğrulama ve sorun giderme yordamları sağlar. Belgeye erişim için etkin bir Utimaco portalı hesabı ve kaydı gerekir.

Önemli

yönetim arabirimine Azure sanal ağın dışından ulaşmak için onaylı bir VPN veya SSH tüneli üzerinden bağlanın. Yetkili yönetim iş istasyonlarından ve ödeme uygulamalarından yönetim bağlantı noktasına (7005) ve uygulama bağlantı noktasına (2200) ağ bağlantısı sağlayın.

Müşteri eylemleri

Azure Ödeme HSM v2 ortamına erişmek için bir Azure sanal ağdaki mevcut Azure VM'sini dağıtın veya kullanın.
Utimaco Secure Configuration Assistant (SCA) yardımcı programını, C3 Anahtar Yükleme Cihazı'nı (KLD) ve yönetici veya yedekleme akıllı kartlarını kullanarak HSM yönetim arabirimine bağlanın.
SSH bağlantı noktası iletme veya VPN gibi onaylı bir bağlantı yöntemi aracılığıyla HSM yönetim bağlantı noktasına erişim sağlayın.
HSM yönetim arabirimine bağlantının başarılı olduğunu doğrulayın ve ilk HSM yönetim görevlerini tamamlayın.
HSM uygulama arabirimine bağlanın ve mevcut ödeme uygulamalarını ve test işlemlerini kullanarak uygulama bağlantısını doğrulayın.

Yönetim bağlantı noktası ve uygulama bağlantı noktası bilgileri

Yönetim bağlantı noktası: 7005 - Yönetim ve yönetim işlemleri.

mgmt<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, burada <node-number>, 1, 2 veya 3 olabilir

Uygulama bağlantı noktası: 2200 - Atalla komutları ve şifreleme işlemleri için ödeme uygulaması veri düzlemi.

app<node-number>.<pool-name>-<unique-string>.privatelink.phsm.azure.net, burada <node-number>, 1, 2 veya 3 olabilir

Azure sanal ağı içinde Azure sanal makine dağıtma

Hızlı Başlangıç: Ubuntu Server 22.04 LTS çalıştıran bir Azure VM dağıtmak için Azure portalında Bir Linux VM oluşturun. Ağ yapılandırması sırasında, daha önce oluşturduğunuz istemci sanal ağını ve yönetim alt ağını seçin.

Ödeme HSM v2'nize bağlanmak için VPN veya SSH bağlantı noktası yönlendirmesini yapılandırın

Aşağıdaki onaylı yöntemlerden birini kullanarak Azure Ödeme HSM v2 yönetim arabiriminize bağlanın.

Yönetim uç noktasını barındıran Azure sanal ağına bağlı siteden siteye VPN:

Öğretici: Şirket içi ağ ile Azure sanal ağ arasında siteden siteye VPN bağlantısı oluşturma

Yönetim uç noktasını barındıran Azure sanal ağına bağlı noktadan siteye VPN:

Azure sanal ağınız içinde dağıtılmış bir Azure VM (geçiş sunucusu) üzerinden SSH yerel bağlantı noktası yönlendirmesi:

ssh -L "<local-port>:<payment-hsm-management-fqdn>:<management-port>" "<username>@<jump-box-fqdn>"

Örneğin:

ssh -L 7005:mgmt1.contosophsmv2-e9gudbaag0bdhcbu.privatelink.phsm.azure.net:7005 azureuser@jumpbox.contoso.com

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Son güncelleştirme: 2026-09-23

Hızlı Başlangıç: Azure Ödeme HSM v2 oluşturma

Prerequisites

Ortamınızı hazırlama

Azure ve Utimaco hesapları oluşturma

Uyum süreci karşılama paketini alın ve doğrulayın

İstemci güveni oluşturma

CA anahtarları ve otomatik olarak imzalanan sertifikalar oluşturma

AllowPrivateEndpoints özelliğini kaydetme

Azure Ödeme HSM v2'yi dağıtma

Ödeme HSM v2 örneği oluşturma

İstemci sanal ağı ve özel DNS bölgesi oluşturma

Azure Ödeme HSM v2 için özel uç nokta oluşturma

Azure Ödeme HSM v2'ye bağlanma

Yönetim bağlantı noktası ve uygulama bağlantı noktası bilgileri

Azure sanal ağı içinde Azure sanal makine dağıtma

Ödeme HSM v2'nize bağlanmak için VPN veya SSH bağlantı noktası yönlendirmesini yapılandırın

İlgili içerik

Geri Bildirim

Ek kaynaklar