Tutorial: Implementación de HSM en una red virtual existente mediante PowerShell

El servicio Azure Dedicated HSM proporciona un dispositivo físico para uso exclusivo del cliente, con un control administrativo completo y responsabilidad de administración total. Dado que el servicio proporciona hardware físico, Microsoft controla cómo asigna esos dispositivos para garantizar una administración eficaz de la capacidad. Como resultado, dentro de una suscripción de Azure, el servicio HSM dedicado no suele ser visible para el aprovisionamiento de recursos. Para acceder al servicio Dedicated HSM, debe ponerse en contacto con el ejecutivo de cuentas de Microsoft para solicitar el registro del servicio Dedicated HSM. Solo puede aprovisionar el servicio después de que este proceso se complete correctamente.

Este tutorial tiene como objetivo mostrar un proceso de aprovisionamiento típico en el que:

• Un cliente ya tiene una red virtual
• Tienen una máquina virtual
• Deben agregar recursos de HSM a ese entorno existente.

Una arquitectura de implementación típica, de alta disponibilidad y de varias regiones es la siguiente:

Este tutorial se centra en dos HSM y en la puerta de enlace de ExpressRoute necesaria (consulte la subred 1 anterior) que se integra en una red virtual existente (consulte la red virtual 1 anterior). Todos los demás recursos son recursos estándar Azure. Se puede utilizar el mismo proceso de integración para HSM en la subred 4 de la red virtual 3 anterior.

Prerequisites

Azure Dedicated HSM no está disponible actualmente en el portal de Azure, por lo que todas las interacciones con el servicio se realizan a través de la línea de comandos o mediante PowerShell. En este tutorial se usa PowerShell en el Azure Cloud Shell. Si no está familiarizado con PowerShell, siga las instrucciones de introducción aquí: Azure PowerShell Introducción.

Suposiciones:

• Se le ha asignado un administrador de cuentas de Microsoft para poder optar a la incorporación y al uso de Azure Dedicated HSM.
• Ha completado el proceso de registro de Azure Dedicated HSM y se le ha concedido la autorización para utilizar el servicio. Si no es así, póngase en contacto con su representante de cuenta Microsoft para obtener más información.
• Ha creado un grupo de recursos para estos recursos y para los nuevos recursos que se implementan en este tutorial.
• Ya ha creado la red virtual, la subred y las máquinas virtuales necesarias y ahora quiere integrar dos HSM en esa implementación.

En las instrucciones siguientes se supone que está en el portal de Azure y que ha abierto el Cloud Shell (seleccione ">_" hacia la parte superior derecha del portal).

Aprovisionamiento de un HSM dedicado

El aprovisionamiento de los HSM y la integración en una red virtual existente a través de la puerta de enlace de ExpressRoute se valida mediante la herramienta de línea de comandos ssh para garantizar la accesibilidad y la disponibilidad básica del dispositivo HSM para las actividades de configuración adicionales. Los siguientes comandos usan una plantilla de Resource Manager para crear los recursos de HSM y los recursos de red asociados.

Validación del registro de características

Como se mencionó, cualquier actividad de aprovisionamiento requiere que el servicio HSM dedicado esté registrado para su suscripción. Para validarlo, ejecute el siguiente comando de PowerShell en el Cloud Shell del portal de Azure.

Get-AzProviderFeature -ProviderNamespace Microsoft.HardwareSecurityModules -FeatureName AzureDedicatedHsm

El comando debe devolver un estado de "Registrado" antes de continuar. Si no está registrado para este servicio, póngase en contacto con su representante de la cuenta Microsoft.

Creación de recursos de HSM

Se aprovisiona un dispositivo HSM en la red virtual de un cliente, lo que requiere una subred. Una dependencia del HSM para habilitar la comunicación entre la red virtual y el dispositivo físico es un ExpressRoute gateway y, por último, se requiere una máquina virtual para acceder al dispositivo HSM mediante el software cliente Thales.

Puede crear un recurso de HSM dedicado mediante una plantilla de ARM basada en el ejemplo siguiente. Debe actualizar los parámetros reemplazando las líneas que contienen "value":"" por los nombres de recursos preferidos.

• namingInfix Prefijo para nombres de recursos de HSM
• ExistingVirtualNetworkName Nombre de la red virtual usada para los HSM
• DedicatedHsmResourceName1 Nombre del recurso de HSM en el centro de datos stamp 1
• DedicatedHsmResourceName2 Nombre del recurso HSM en el sello del centro de datos 2
• hsmSubnetRange Intervalo de direcciones IP de subred para HSM
• ERSubnetRange Rango de direcciones IP de la subred para la puerta de enlace de VNET

Un ejemplo de estos cambios es el siguiente:

{
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "namingInfix": {
      "value": "MyHSM"
    },
    "ExistingVirtualNetworkName": {
      "value": "MyHSM-vnet"
    },
    "DedicatedHsmResourceName1": {
      "value": "HSM1"
    },
    "DedicatedHsmResourceName2": {
      "value": "HSM2"
    },
    "hsmSubnetRange": {
      "value": "10.0.2.0/24"
    },
    "ERSubnetRange": {
      "value": "10.0.255.0/26"
    },
  }
}

El archivo de plantilla de Resource Manager asociado crea seis recursos con esta información:

• Una subred para los HSMs en la VNET especificada
• Una subred para la puerta de enlace de red virtual
• Puerta de enlace de red virtual que conecta la red virtual a los dispositivos HSM
• Una dirección IP pública para la puerta de enlace
• Un HSM en la marca 1
• Un HSM en la marca 2

Una vez establecidos los valores de parámetro, los archivos deben cargarse en el recurso compartido de archivos de Cloud Shell del portal de Azure para su uso. En el portal de Azure, seleccione el símbolo ">_" Cloud Shell de la parte superior derecha, que hace que la parte inferior de la pantalla sea un entorno de comandos. Las opciones son BASH y PowerShell; debe seleccionar BASH si aún no está configurado.

Seleccione la opción cargar o descargar de la barra de herramientas para cargar los archivos de plantilla y parámetros en el recurso compartido de archivos:

Una vez cargados los archivos, estará listo para crear recursos.

Hay algunos recursos de requisitos previos necesarios antes de crear nuevos recursos de HSM. Debe tener una red virtual con intervalos de subredes para cómputo, HSM y gateway. Los siguientes comandos sirven como ejemplo de lo que crearía una red virtual de este tipo.

$compute = New-AzVirtualNetworkSubnetConfig `
  -Name compute `
  -AddressPrefix 10.2.0.0/24

$delegation = New-AzDelegation `
  -Name "myDelegation" `
  -ServiceName "Microsoft.HardwareSecurityModules/dedicatedHSMs"

$hsmsubnet = New-AzVirtualNetworkSubnetConfig ` 
  -Name hsmsubnet ` 
  -AddressPrefix 10.2.1.0/24 ` 
  -Delegation $delegation 

$gwsubnet= New-AzVirtualNetworkSubnetConfig `
  -Name GatewaySubnet `
  -AddressPrefix 10.2.255.0/26

New-AzVirtualNetwork `
  -Name myHSM-vnet `
  -ResourceGroupName myRG `
  -Location westus `
  -AddressPrefix 10.2.0.0/16 `
  -Subnet $compute, $hsmsubnet, $gwsubnet

Una vez implementados todos los requisitos previos y actualizada la plantilla de Resource Manager con sus nombres únicos (al menos el nombre del grupo de recursos), ejecute el siguiente comando:

New-AzResourceGroupDeployment -ResourceGroupName myRG `
     -TemplateFile .\Deploy-2HSM-toVNET-Template.json `
     -TemplateParameterFile .\Deploy-2HSM-toVNET-Params.json `
     -Name HSMdeploy -Verbose

Este comando debe tardar aproximadamente 20 minutos en completarse. La opción "-verbose" usada garantiza que el estado se muestre continuamente.

Cuando se completa correctamente, como indica "provisioningState": "Succeeded", puede iniciar sesión en la máquina virtual existente y usar SSH para garantizar la disponibilidad del dispositivo HSM.

Comprobación de la implementación

Para comprobar que los dispositivos se han aprovisionado y ver los atributos del dispositivo, ejecute el siguiente conjunto de comandos. Asegúrese de que el grupo de recursos se establece correctamente y que el nombre del recurso es exactamente el que tiene en el archivo de parámetros.

$subid = (Get-AzContext).Subscription.Id
$resourceGroupName = "myRG"
$resourceName = "HSM1"  
Get-AzResource -Resourceid /subscriptions/$subId/resourceGroups/$resourceGroupName/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/$resourceName

Ahora también podrá ver los recursos mediante el explorador de recursos de Azure. Una vez en el explorador, expanda "suscripciones" a la izquierda, expanda su suscripción específica para Dedicated HSM, expanda "grupos de recursos", expanda el grupo de recursos que usó y, por último, seleccione el elemento "recursos".

Probar la implementación

Probar la implementación consiste en conectarse a una máquina virtual que puede acceder a los HSM y después conectarse directamente al dispositivo HSM. Estas acciones confirmarán que el HSM es accesible. La herramienta ssh se usa para conectarse a la máquina virtual. El comando será similar al siguiente, pero con el nombre de administrador y el nombre dns especificados en el parámetro .

ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com

La contraseña que se va a usar es la del archivo de parámetros. Una vez que haya iniciado sesión en la máquina virtual Linux, puede iniciar sesión en el HSM mediante la dirección IP privada que se encuentra en el portal para el recurso >prefix<hsm_vnic.

(Get-AzResource -ResourceGroupName myRG -Name HSMdeploy -ExpandProperties).Properties.networkProfile.networkInterfaces.privateIpAddress

Cuando tenga la dirección IP, ejecute el siguiente comando:

ssh tenantadmin@<ip address of HSM>

Si se realiza correctamente, se le pedirá una contraseña. La contraseña predeterminada es PASSWORD. El HSM le pedirá que cambie la contraseña, así que establezca una contraseña segura y use el mecanismo que prefiera su organización para almacenar la contraseña y evitar la pérdida.

Cuando esté conectado al dispositivo HSM mediante ssh, ejecute el siguiente comando para asegurarse de que el HSM está operativo.

hsm show

La salida debe ser similar a la imagen que se muestra a continuación:

En este momento, ha asignado todos los recursos para una implementación de alta disponibilidad de dos HSM y ha validado el acceso y el estado operativo. Cualquier configuración o prueba adicional implica más trabajo con el propio dispositivo HSM. Para ello, debe seguir las instrucciones del capítulo 7 de la Guía de administración de HSM de Thales Luna 7 para inicializar el HSM y crear particiones. Toda la documentación y el software están disponibles directamente desde Thales para su descarga una vez que esté registrado en el portal de soporte al cliente de Thales y tenga un identificador de cliente. Descargue Client Software versión 7.2 para obtener todos los componentes necesarios.

Eliminar o limpiar recursos

Si ha terminado de usar solo el dispositivo HSM, se puede eliminar como un recurso y devolverlo al grupo de recursos disponibles. La preocupación obvia al hacer esto es cualquier dato confidencial del cliente que se encuentra en el dispositivo. La mejor manera de "poner a cero" un dispositivo es escribir la contraseña de administrador de HSM equivocada tres veces (nota: No se trata del administrador de la aplicación, sino del administrador de HSM real). Como medida de seguridad para proteger el material clave, el dispositivo no se puede eliminar como recurso de Azure hasta que se encuentre en un estado en cero.

Si desea quitar el recurso HSM en Azure, puede usar el siguiente comando reemplazando las variables "$" por sus parámetros únicos:

$subid = (Get-AzContext).Subscription.Id
$resourceGroupName = "myRG" 
$resourceName = "HSMdeploy"  
Remove-AzResource -Resourceid /subscriptions/$subId/resourceGroups/$resourceGroupName/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/$resourceName 

Pasos siguientes

Después de completar los pasos del tutorial, los recursos de HSM dedicados se aprovisionan y están disponibles en la red virtual. Ahora está en posición de complementar esta implementación con más recursos según lo requiera la arquitectura de implementación preferida. Para obtener más información para ayudarle a planificar su implementación, consulte los documentos Conceptos. Se recomienda un diseño con dos HSM en una región primaria que aborde la disponibilidad en el nivel de bastidor y dos HSM en una región secundaria que aborde la disponibilidad regional. El archivo de plantilla usado en este tutorial se puede usar fácilmente como base para una implementación de dos HSM, pero debe tener sus parámetros modificados para satisfacer sus requisitos.

• Alta disponibilidad
• Seguridad física
• Creación de redes
• Monitoring
• Compatibilidad