Lernprogramm: Bereitstellen von HSMs in einem vorhandenen virtuellen Netzwerk mithilfe des Azure CLI

Azure Dedicated HSM bietet ein physisches Gerät für die alleinige Kundennutzung mit vollständiger Verwaltungskontrolle und vollständiger Verwaltungsverantwortung. Da der Dienst physische Hardware bereitstellt, steuert Microsoft, wie Microsoft diese Geräte zuweist, um eine effektive Kapazitätsverwaltung sicherzustellen. Daher ist der dedizierte HSM-Dienst innerhalb eines Azure-Abonnements für die Ressourcenbereitstellung normalerweise nicht sichtbar. Um auf den dedizierten HSM-Dienst zuzugreifen, müssen Sie sich an Ihren Microsoft-Konto Manager wenden, um die Registrierung für den dedizierten HSM-Dienst anzufordern. Sie können den Dienst erst bereitstellen, nachdem dieser Vorgang erfolgreich abgeschlossen wurde.

Dieses Lernprogramm zeigt einen typischen Bereitstellungsprozess, bei dem:

• Ein Kunde verfügt bereits über ein virtuelles Netzwerk
• Sie verfügen über eine virtuelle Maschine
• Sie müssen HSM-Ressourcen zu dieser vorhandenen Umgebung hinzufügen.

Eine typische, hochverfügbare Bereitstellungsarchitektur mit mehreren Regionen kann wie folgt aussehen:

Dieses Lernprogramm konzentriert sich auf ein Paar von HSMs und das erforderliche ExpressRoute-Gateway (siehe Subnetz 1 oben), das in ein vorhandenes virtuelles Netzwerk integriert wird (siehe VNET 1 oben). Alle anderen Ressourcen sind Standard-Azure-Ressourcen. Derselbe Integrationsprozess kann für HSMs in Subnetz 4 auf VNET 3 oben verwendet werden.

Voraussetzungen

Azure Dedicated HSM ist derzeit im Azure-Portal nicht verfügbar. Alle Interaktionen mit dem Dienst müssen über die Befehlszeile oder mithilfe von PowerShell erfolgen. In diesem Lernprogramm wird die Befehlszeilenschnittstelle (CLI) im Azure Cloud Shell verwendet. Wenn Sie neu bei der Azure CLI sind, folgen Sie hier den Anweisungen für die ersten Schritte: Azure CLI 2.0 Erste Schritte.

Voraussetzungen:

• Voraussetzung für das Onboarding und die Verwendung von Azure Dedicated HSM ist, dass Ihnen ein Microsoft Account Manager zugewiesen ist.
• Sie haben den Registrierungsprozess für Azure Dedicated HSM durchlaufen und wurden für die Nutzung des Diensts zugelassen. Falls nicht, wenden Sie sich an Ihren Microsoft Account-Vertreter für weitere Informationen.
• Sie haben eine Ressourcengruppe für diese Ressourcen erstellt, und die neuen, die in diesem Lernprogramm bereitgestellt werden, werden dieser Gruppe beitreten.
• Sie haben bereits das erforderliche virtuelle Netzwerk, Subnetz und die virtuellen Maschinen gemäß dem Diagramm erstellt und möchten nun 2 HSMs in diese Bereitstellung integrieren.

Alle Anweisungen in diesem Artikel gehen davon aus, dass Sie sich im Azure Portal befinden und die Cloud Shell geöffnet haben (wählen Sie ">_" oben rechts im Portal aus).

Bereitstellen eines dedizierten HSM

Die Bereitstellung von HSMs und die Integration in ein vorhandenes virtuelles Netzwerk über expressRoute-Gateway wird mithilfe von SSH überprüft. Diese Überprüfung trägt dazu bei, die Erreichbarkeit und grundlegende Verfügbarkeit des HSM-Geräts für weitere Konfigurationsaktivitäten zu gewährleisten.

Überprüfen der Featureregistrierung

Jede Bereitstellungsaktivität erfordert, dass der dedizierte HSM-Dienst für Ihr Abonnement registriert ist. Um dies zu überprüfen, führen Sie die folgenden Befehle im Azure Portal Cloud Shell aus.

az feature show \
   --namespace Microsoft.HardwareSecurityModules \
   --name AzureDedicatedHSM

Die Befehle sollten den Status "Registriert" zurückgeben. Wenn die Befehle nicht "Registered" zurückgeben, müssen Sie sich für diesen Dienst registrieren, indem Sie sich an Ihren Microsoft-Kontobetreuer wenden.

HSM-Ressourcen erstellen

Bevor Sie HSM-Ressourcen erstellen, benötigen Sie einige vorausgesetzte Ressourcen. Sie müssen über ein virtuelles Netzwerk mit Subnetzbereichen für Compute, HSMs und Gateway verfügen. Die folgenden Befehle dienen als Beispiel dafür, wie ein solches virtuelles Netzwerk erstellt werden könnte.

az network vnet create \
  --name myHSM-vnet \
  --resource-group myRG \
  --address-prefix 10.2.0.0/16 \
  --subnet-name compute \
  --subnet-prefix 10.2.0.0/24

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name hsmsubnet \
  --address-prefixes 10.2.1.0/24 \
  --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name GatewaySubnet \
  --address-prefixes 10.2.255.0/26

Das virtuelle Netzwerk erfordert auch ein ExpressRoute-Gateway. Ohne ein Gateway schlägt der HSM-Erstellungsvorgang mit einem Fehler beim Verbinden des Geräts mit dem virtuellen Netzwerk fehl. Erstellen Sie das Gateway mit dem Az Network vnet-gateway create-Befehl und der ErGwScale SKU. Da Azure die öffentliche IP-Adresse des Gateways automatisch zuweist und verwaltet, erstellen Sie also keine öffentliche IP-Ressource oder übergeben Sie den Parameter --public-ip-addresses nicht.

az network vnet-gateway create \
  --resource-group myRG \
  --name myergw \
  --vnet myHSM-vnet \
  --gateway-type ExpressRoute \
  --sku ErGwScale \
  --min-scale-unit 1 \
  --max-scale-unit 1

Die Bereitstellung des Gateways dauert ca. 17 Minuten.

Nachdem Sie Ihr Netzwerk konfiguriert haben, verwenden Sie diese Azure CLI Befehle, um Ihre HSMs bereitzustellen.

1. Verwenden Sie den az dedicated-hsm create-Befehl zum Bereitstellen des ersten HSM. Das HSM heißt hsm1. Ersetzen Sie Ihr Abonnement:

   az dedicated-hsm create --location westus --name hsm1 --resource-group myRG \
        --stamp-id stamp1 --sku "SafeNet Luna Network HSM A790" \
        --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
        --network-interfaces private-ip-address=10.2.1.4
   

   Der HSM-Erstellungsvorgang dauert ca. 7 Minuten, bis der Vorgang abgeschlossen ist.

2. Um ein aktuelles HSM anzuzeigen, führen Sie den Befehl az dedicated-hsm show aus:

   az dedicated-hsm show --resource-group myRG --name hsm1
   

3. Stellen Sie das zweite HSM mithilfe dieses Befehls bereit:

   az dedicated-hsm create --location westus --name hsm2 --resource-group myRG \
        --stamp-id stamp2 --sku "SafeNet Luna Network HSM A790" \
        --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
        --network-interfaces private-ip-address=10.2.1.5
   

4. Führen Sie den Befehl az dedicated-hsm list aus, um Details zu Ihren aktuellen HSMs anzuzeigen:

   az dedicated-hsm list --resource-group myRG
   

Es gibt einige andere Befehle, die nützlich sein können. Verwenden Sie den Befehl az dedicated-hsm update, um ein HSM zu aktualisieren:

az dedicated-hsm update --resource-group myRG --name hsm1

Verwenden Sie zum Löschen eines HSM den Befehl az dedicated-hsm delete:

az dedicated-hsm delete --resource-group myRG --name hsm1

Überprüfen Sie die Bereitstellung

Um zu überprüfen, ob die Geräte bereitgestellt sind, und um Geräteattribute anzuzeigen, führen Sie den folgenden Befehlssatz aus. Stellen Sie sicher, dass die Ressourcengruppe entsprechend festgelegt ist und der Ressourcenname genau dem in der Parameterdatei angegebenen Namen entspricht.

subid=$(az account show --query id --output tsv)
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM1
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM2

Die Ausgabe sieht ungefähr wie die folgende Ausgabe aus:

{
    "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSMl",
    "identity": null,
    "kind": null,
    "location": "westus",
    "managedBy": null,
    "name": "HSM1",
    "plan": null,
    "properties": {
        "networkProfile": {
            "networkInterfaces": [
            {
            "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/networkInterfaces/HSMl_HSMnic", "privatelpAddress": "10.0.2.5",
            "resourceGroup": "HSM-RG"
            }
            L
            "subnet": {
                "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/virtualNetworks/demo-vnet/subnets/hsmsubnet", "resourceGroup": "HSM-RG"
            }
        },
        "provisioningState": "Succeeded",
        "stampld": "stampl",
        "statusMessage": "The Dedicated HSM device is provisioned successfully and ready to use."
    },
    "resourceGroup": "HSM-RG",
    "sku": {
        "capacity": null,
        "family": null,
        "model": null,
        "name": "SafeNet Luna Network HSM A790",
        "size": null,
        "tier": null
    },
    "tags": {
        "Environment": "prod",
        "resourceType": "Hsm"
    },
    "type": "Microsoft.HardwareSecurityModules/dedicatedHSMs"
}

Sie können die Ressourcen jetzt auch mithilfe des Azure Ressourcen-Explorers anzeigen. Erweitern Sie im Explorer "Abonnements", erweitern Sie Ihr spezifisches Abonnement für dedizierte HSM, erweitern Sie "Ressourcengruppen", erweitern Sie die verwendete Ressourcengruppe, und wählen Sie schließlich das Element "Ressourcen" aus.

Bereitstellung testen

Zum Testen der Bereitstellung stellt man eine Verbindung mit einem virtuellen Computer her, der auf ein oder mehrere HSMs zugreifen kann, und stellt dann eine direkte Verbindung mit dem HSM-Gerät her. Diese Aktionen bestätigen, dass das HSM erreichbar ist. Das SSH-Tool wird verwendet, um eine Verbindung mit dem virtuellen Computer herzustellen. Der Befehl ähnelt dem folgenden, aber mit dem Administratornamen und dem DNS-Namen, den Sie im Parameter angegeben haben.

ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com

Die IP-Adresse des virtuellen Computers kann auch anstelle des DNS-Namens verwendet werden. Wenn der Befehl erfolgreich ist, fordert er ein Kennwort ein, und Sie sollten dies eingeben. Nach der Anmeldung am virtuellen Computer können Sie sich mit der privaten IP-Adresse, die im Portal bei der dem HSM zugeordneten Netzwerkschnittstellenressource zu finden ist, beim HSM anmelden.

Im Screenshot würde durch Klicken auf das "HSM1_HSMnic" oder "HSM2_HSMnic" die entsprechende private IP-Adresse angezeigt. Andernfalls ist der az resource show Befehl eine Möglichkeit, die richtige IP-Adresse zu identifizieren.

Wenn Sie über die richtige IP-Adresse verfügen, führen Sie den folgenden Befehl aus, wobei Sie diese Adresse einsetzen:

ssh tenantadmin@10.0.2.4

Bei erfolgreicher Ausführung werden Sie aufgefordert, ein Kennwort einzugeben. Das Standardkennwort ist PASSWORD, und das HSM fordert Sie zunächst auf, Ihr Kennwort zu ändern. Legen Sie ein sicheres Kennwort fest und verwenden Sie das von Ihrer Organisation bevorzugte Verfahren, um das Kennwort zu speichern und den Verlust des Kennworts zu verhindern.

Wenn Sie über ssh mit dem HSM verbunden sind, führen Sie den folgenden Befehl aus, um sicherzustellen, dass das HSM betriebsbereit ist.

hsm show

Die Ausgabe sollte wie folgt aussehen:

Zu diesem Zeitpunkt haben Sie alle Ressourcen für eine hochverfügbare Bereitstellung mit zwei HSMs zugeordnet und den Zugriff sowie den Betriebszustand validiert. Jede weitere Konfiguration oder Prüfung erfordert mehr Arbeit mit dem HSM-Gerät selbst. Hierfür sollten Sie die Anweisungen im Thales Luna 7 HSM Administration Guide, Kapitel 7, befolgen, um das HSM zu initialisieren und Partitionen zu erstellen. Alle Dokumentationen und Software stehen direkt von Thales zum Download zur Verfügung, sobald Sie im Thales-Kundensupportportal registriert sind und über eine Kunden-ID verfügen. Laden Sie Clientsoftware, Version 7.2, herunter, um alle erforderlichen Komponenten abzurufen.

Ressourcen löschen oder bereinigen

Wenn Sie mit nur dem HSM-Gerät fertig sind, kann es als Ressource gelöscht und an den kostenlosen Pool zurückgegeben werden. Die offensichtliche Sorge bei dieser Vorgehensweise sind alle vertraulichen Kundendaten, die sich auf dem Gerät befinden. Die beste Möglichkeit, ein Gerät „auf null zu setzen“, besteht darin, das HSM-Administratorkennwort dreimal falsch einzugeben. (Nicht der Appliance-Administrator, der tatsächliche HSM-Administrator). Als Sicherheitsmaßnahme zum Schutz des Schlüsselmaterials kann das Gerät erst als Azure Ressource gelöscht werden, wenn es sich im nullisierten Zustand befindet.

Wenn Sie mit allen Ressourcen in der Ressourcengruppe fertig sind, können Sie sie mit dem folgenden Befehl entfernen:

az group delete \
   --resource-group myRG \
   --name HSMdeploy \
   --verbose

Nächste Schritte

Nach Abschluss der Schritte im Lernprogramm werden dedizierte HSM-Ressourcen bereitgestellt, und Sie verfügen über ein virtuelles Netzwerk mit erforderlichen HSMs und weitere Netzwerkkomponenten, um die Kommunikation mit dem HSM zu ermöglichen. Sie sind jetzt in der Lage, diese Bereitstellung mit mehr Ressourcen zu ergänzen, entsprechend den Anforderungen Ihrer bevorzugten Bereitstellungsarchitektur. Weitere Informationen zum Planen Ihrer Bereitstellung finden Sie in den Dokumenten "Konzepte". Ein Design mit zwei HSMs in einer primären Region, die die Verfügbarkeit auf Rackebene anspricht, und zwei HSMs in einer sekundären Region, die die regionale Verfügbarkeit adressiert, wird empfohlen.

• Hohe Verfügbarkeit
• Physische Sicherheit
• Vernetzung
• Wartbarkeit
• Monitoring