Schnellstart: Erstellen eines dedizierten Azure HSM mithilfe der Azure CLI

In diesem Artikel wird beschrieben, wie Sie mithilfe der hardware-security-modules Azure CLI Erweiterung eine Azure Dedicated HSM erstellen und verwalten.

Voraussetzungen

• Ein Azure-Abonnement. Sie können ein kostenloses Konto erstellen, falls Sie noch kein Konto besitzen.

  Wenn Sie über mehrere Azure-Abonnements verfügen, legen Sie das Abonnement für die Abrechnung mit dem Befehl "Azure CLI az account set " fest.

  az account set --subscription 00000000-0000-0000-0000-000000000000
  

• Verwenden Sie die Bash-Umgebung in Azure Cloud Shell. Weitere Informationen finden Sie unter "Erste Schritte mit Azure Cloud Shell".

  

• Wenn Sie CLI-Referenzbefehle lieber lokal ausführen möchten, installieren Sie die Azure CLI. Wenn Sie mit Windows oder macOS arbeiten, sollten Sie die Azure CLI in einem Docker-Container ausführen. Weitere Informationen finden Sie unter Ausführen der Azure CLI in einem Docker-Container.

  • Wenn Sie eine lokale Installation verwenden, melden Sie sich mithilfe des Befehls az login bei der Azure CLI an. Um den Authentifizierungsprozess abzuschließen, führen Sie die schritte aus, die in Ihrem Terminal angezeigt werden. Weitere Anmeldeoptionen finden Sie unter Authentifizieren bei Azure mithilfe der Azure CLI.

  • Wenn Sie dazu aufgefordert werden, installieren Sie die Azure CLI-Erweiterung bei der ersten Verwendung. Weitere Informationen zu Erweiterungen finden Sie unter Verwenden und Verwalten von Erweiterungen mit der Azure CLI.

  • Führen Sie az version aus, um die installierte Version und die abhängigen Bibliotheken zu ermitteln. Führen Sie az upgrade aus, um auf die neueste Version zu aktualisieren.

• Die Azure CLI-Erweiterung hardware-security-modules. Installieren Sie sie mit dem Befehl az extension add:

  az extension add --name hardware-security-modules
  

• Die erforderlichen Ressourcenanbieter und Featureflags, die für Ihr Abonnement registriert sind. Registrieren Sie die Features AzureDedicatedHsm und DedicatedHsmEnabled, und registrieren Sie dann den Anbieter Microsoft.HardwareSecurityModules. Wenn das DedicatedHsmEnabled Feature nicht registriert ist, geben dedizierte HSM-Befehle einen InvalidResourceType Fehler zurück.

  az feature register --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm
  az feature register --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled
  az provider register -n Microsoft.HardwareSecurityModules
  

  Die Featureregistrierung kann einige Minuten dauern. Vergewissern Sie sich, dass beide Features einen Status Registered anzeigen, bevor Sie fortfahren:

  az feature show --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm --query properties.state
  az feature show --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled --query properties.state
  

Erstellen einer Ressourcengruppe

Eine Azure-Ressourcengruppe ist ein logischer Container zum Bereitstellen und Verwalten von Azure-Ressourcen als Gruppe. Wenn Sie noch keine Ressourcengruppe für das dedizierte HSM haben, erstellen Sie eine mithilfe des Befehls "az group create ". Im folgenden Beispiel wird eine Ressourcengruppe namens myRG in der Azure-Region westus erstellt.

az group create --name myRG --location westus

Netzwerkressourcen erstellen

Ein dediziertes HSM wird in ein Subnetz in Ihr virtuelles Netzwerk eingefügt, und das virtuelle Netzwerk muss über ein ExpressRoute-Gateway verfügen. Ohne Gateway schlägt der Erstellungsvorgang mit einem Fehler beim Verbinden des Geräts mit dem virtuellen Netzwerk fehl.

1. Erstellen Sie ein virtuelles Netzwerk mit einem Subnetz für Computeressourcen, indem Sie den az network vnet create-Befehl verwenden:

   az network vnet create \
      --name myHSM-vnet \
      --resource-group myRG \
      --address-prefix 10.2.0.0/16 \
      --subnet-name compute \
      --subnet-prefix 10.2.0.0/24
   

2. Fügen Sie ein Subnetz für das HSM hinzu, indem Sie den Befehl az network vnet subnet create verwenden. Delegieren Sie das Subnetz an Microsoft.HardwareSecurityModules/dedicatedHSMs, und verwenden Sie einen Namen, der sich vom Namen des virtuellen Netzwerks unterscheidet.

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name hsmsubnet \
      --address-prefixes 10.2.1.0/24 \
      --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs
   

3. Fügen Sie das GatewaySubnet hinzu, das das ExpressRoute-Gateway benötigt:

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name GatewaySubnet \
      --address-prefixes 10.2.255.0/26
   

4. Erstellen Sie das ExpressRoute-Gateway mit dem Befehl az network vnet-gateway create. Verwenden Sie die ErGwScale SKU. Da Azure die öffentliche IP-Adresse des Gateways automatisch zuweist und verwaltet, erstellen Sie also keine öffentliche IP-Ressource und übergeben Sie den --public-ip-addresses-Parameter nicht.

   az network vnet-gateway create \
      --resource-group myRG \
      --name myergw \
      --vnet myHSM-vnet \
      --gateway-type ExpressRoute \
      --sku ErGwScale \
      --min-scale-unit 1 \
      --max-scale-unit 1
   

   Die Bereitstellung des Gateways dauert ca. 17 Minuten.

   Note

   In der Region „USA, Westen“ hat die SKU ErGwScale für dieses Szenario funktioniert. Die SKU ErGw1AZ wurde mit InvalidGatewaySkuSpecifiedForGatewayDeploymentType abgelehnt, und die SKU Standard ist mit GatewayError fehlgeschlagen.

Ein dediziertes HSM erstellen

Verwenden Sie zum Erstellen eines dedizierten HSM den Befehl "az dedicated-hsm create ". Im folgenden Beispiel wird ein dediziertes HSM mit dem Namen hsm1 in der Region westus und der Ressourcengruppe myRG bereitgestellt. Übergeben Sie die Ressourcen-ID des delegierten HSM-Subnetzes, und weisen Sie innerhalb des Adressbereichs dieses Subnetzes eine private IP-Adresse zu. Die erforderlichen Parameter sind name, locationund resource group.

az dedicated-hsm create \
   --resource-group myRG \
   --name "hsm1" \
   --location "westus" \
   --stamp-id "stamp1" \
   --sku "SafeNet Luna Network HSM A790" \
   --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
   --network-interfaces private-ip-address="10.2.1.4" \
   --tags resourceType="hsm" Environment="test"

Der HSM-Erstellungsvorgang dauert ca. 7 Minuten, bis der Vorgang abgeschlossen ist.

Abrufen eines dedizierten HSM

Um einen aktuellen dedizierten HSM zu erhalten, führen Sie den Befehl az dedicated-hsm show aus. Das folgende Beispiel ruft das hsm1 dedizierte HSM in der myRG Ressourcengruppe ab.

az dedicated-hsm show --resource-group myRG --name hsm1

Aktualisieren eines dedizierten HSM

Verwenden Sie den Az dedicated-hsm Update-Befehl , um ein dediziertes HSM zu aktualisieren. Im folgenden Beispiel wird das dedizierte HSM hsm1 in der Ressourcengruppe myRG mit den zugehörigen Tags aktualisiert:

az dedicated-hsm update --resource-group myRG --name hsm1 --tags resourceType="hsm" Environment="prod" Slice="A"

Liste mit dedizierten HSMs

Führen Sie den Befehl "az dedicated-hsm list " aus, um Informationen zu aktuellen dedizierten HSMs abzurufen. Im folgenden Beispiel werden die dedizierten HSMs in der Ressourcengruppe myRG aufgeführt:

az dedicated-hsm list --resource-group myRG

Bereinigen von Ressourcen

Entfernen eines dedizierten HSM

Nachdem Sie das HSM nullisiert haben, verwenden Sie den befehl az dedicated-hsm delete , um ihn zu entfernen. Im folgenden Beispiel wird das hsm1 explizit zugewiesene HSM aus der myRG Ressourcengruppe gelöscht:

az dedicated-hsm delete --resource-group myRG --name hsm1

Löschen der Ressourcengruppe

Nachdem das HSM gelöscht wurde, können Sie die Ressourcengruppe löschen, wenn Sie sie nicht mehr benötigen, indem Sie den Befehl az group delete ausführen. Dieser Befehl löscht die Gruppe und alle darin enthaltenen Ressourcen, einschließlich aller Ressourcen, die nicht mit dediziertem HSM zusammenhängen. Im folgenden Beispiel wird die myRG Ressourcengruppe und alles darin gelöscht:

az group delete --name myRG

Nächste Schritte

Weitere Informationen zu Azure Dedicated HSM finden Sie unter Azure Dedicated HSM.