Tutoriel : Déploiement de modules HSM dans un réseau virtuel existant à l’aide de l’Azure CLI

Important

Le HSM dédié Azure est mis hors service. Microsoft prendra entièrement en charge les clients HSM dédiés existants jusqu’au 31 juillet 2028. Aucune nouvelle intégration de nouveaux clients n'est acceptée. Pour obtenir des détails complets et des actions requises, consultez la mise à jour Officielle d’Azure.

Si vous êtes un utilisateur Azure Dedicated HSM, consultez Migrer de Azure Dedicated HSM vers un HSM managé ou Azure HSM cloud. Azure Cloud HSM est désormais en disponibilité générale et le successeur d’Azure Dedicated HSM.

Les nouveaux clients doivent évaluer et adopter Azure Cloud HSM, Managed HSM ou Azure Key Vault selon les exigences de leur charge de travail. Pour obtenir des conseils, consultez Comment choisir la solution de gestion des clés Azure appropriée.

Azure Dedicated HSM fournit un appareil physique réservé à l’usage exclusif du client, avec un contrôle administratif complet et une responsabilité de gestion complète. Étant donné que le service fournit du matériel physique, Microsoft contrôle la façon dont il alloue ces appareils pour garantir une gestion efficace de la capacité. Par conséquent, dans un abonnement Azure, le service HSM dédié n'est normalement pas visible pour l'approvisionnement des ressources. Pour accéder au service HSM dédié, vous devez contacter votre chargé de compte Microsoft pour demander l’inscription au service HSM dédié. Vous ne pouvez provisionner service qu’une fois ce processus terminé avec succès.

Ce tutoriel présente un processus de provisionnement classique dans lequel :

  • Un client dispose déjà d’un réseau virtuel
  • Ils ont une machine virtuelle
  • Ils doivent ajouter des ressources HSM dans cet environnement existant.

Une architecture de déploiement multirégion classique, à haute disponibilité, peut se présenter comme suit :

déploiement multirégion

Ce tutoriel concerne l’intégration d’une paire de modules de sécurité matériels (HSM) et l’intégration de la passerelle ExpressRoute nécessaire (voir le sous-réseau 1 ci-dessus) à un réseau virtuel existant (voir le réseau virtuel 1 ci-dessus). Toutes les autres ressources sont des ressources Azure standard. Le même processus d’intégration peut être utilisé pour les HSM dans le sous-réseau 4 sur le réseau virtuel 3 ci-dessus.

Prerequisites

Azure Dedicated HSM n’est actuellement pas disponible dans le portail Azure. Toutes les interactions avec le service doivent être via la ligne de commande ou à l’aide de PowerShell. Ce didacticiel utilise l’interface de ligne de commande (CLI) dans le Azure Cloud Shell. Si vous débutez avec le Azure CLI, suivez les instructions de prise en main ici : Azure CLI 2.0 Prise en main.

Hypothèses:

  • Vous disposez d’un responsable de compte Microsoft attitré pour pouvoir bénéficier de l’intégration et de l’utilisation d’Azure Dedicated HSM.
  • Vous avez suivi le processus d’inscription Azure Dedicated HSM et vous avez été autorisé à utiliser le service. Si ce n’est pas le cas, contactez votre représentant de compte Microsoft pour plus d’informations.
  • Vous avez créé un groupe de ressources pour ces ressources et les nouvelles ressources déployées dans ce didacticiel rejoindront ce groupe.
  • Vous avez déjà créé le réseau virtuel, le sous-réseau et les machines virtuelles nécessaires en fonction du diagramme et souhaitez maintenant intégrer 2 HSM dans ce déploiement.

Toutes les instructions de cet article supposent que vous êtes sur le portail Azure et que le Cloud Shell est ouvert (sélectionnez « > » en haut à droite du portail).

Provisionner un HSM dédié

L’approvisionnement de modules HSM et leur intégration dans un réseau virtuel existant via la passerelle ExpressRoute est validé à l’aide de ssh. Cette validation permet de garantir l’accessibilité et la disponibilité de base de l’appareil HSM pour toute autre activité de configuration.

Vérifier la fonctionnalité d’inscription

Toute opération de provisionnement nécessite que le service HSM dédié soit inscrit pour votre abonnement. Pour valider cela, exécutez les commandes suivantes dans le portail Azure Cloud Shell.

az feature show \
   --namespace Microsoft.HardwareSecurityModules \
   --name AzureDedicatedHSM

Les commandes doivent retourner l’état « Enregistré ». Si les commandes ne retournent pas « Registered », vous devez vous inscrire au service. Pour cela, contactez votre responsable de compte Microsoft.

état de l’abonnement

Créer des ressources HSM

Avant de créer des ressources HSM, vous avez besoin de certaines ressources préalables. Vous devez disposer d’un réseau virtuel avec des plages de sous-réseaux pour les ressources de calcul, les modules HSM et la passerelle. Les commandes suivantes servent d’exemple de ce qui créerait un tel réseau virtuel.

az network vnet create \
  --name myHSM-vnet \
  --resource-group myRG \
  --address-prefix 10.2.0.0/16 \
  --subnet-name compute \
  --subnet-prefix 10.2.0.0/24

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name hsmsubnet \
  --address-prefixes 10.2.1.0/24 \
  --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name GatewaySubnet \
  --address-prefixes 10.2.255.0/26

Note

La configuration la plus importante pour le réseau virtuel est que le sous-réseau de l’appareil HSM doit avoir des délégations définies sur « Microsoft. HardwareSecurityModules/dedicatedHSMs ». L’approvisionnement HSM ne fonctionne pas sans cette option définie.

Le réseau virtuel nécessite également une passerelle ExpressRoute. Sans passerelle, l’opération de création de HSM échoue avec une erreur lors de la connexion de l’appareil au réseau virtuel. Créez la passerelle avec la commande az network vnet-gateway create et le SKU ErGwScale. Azure attribue et gère automatiquement l'adresse IP publique de la passerelle. Par conséquent, ne créez pas de ressource IP publique ni transmettez le --public-ip-addresses paramètre.

az network vnet-gateway create \
  --resource-group myRG \
  --name myergw \
  --vnet myHSM-vnet \
  --gateway-type ExpressRoute \
  --sku ErGwScale \
  --min-scale-unit 1 \
  --max-scale-unit 1

La passerelle prend environ 17 minutes à déployer.

Après avoir configuré votre réseau, utilisez ces commandes Azure CLI pour approvisionner vos modules HSM.

  1. Utilisez la commande az dedicated-hsm create pour provisionner le premier HSM. Le HSM est nommé hsm1. Remplacez votre abonnement :

    az dedicated-hsm create --location westus --name hsm1 --resource-group myRG \
     --stamp-id stamp1 --sku "SafeNet Luna Network HSM A790" \
     --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
     --network-interfaces private-ip-address=10.2.1.4

    L’opération de création HSM prend environ 7 minutes.

  2. Pour afficher un HSM actuel, exécutez la commande az dedicated-hsm show :

    az dedicated-hsm show --resource-group myRG --name hsm1

  3. Provisionnez le deuxième HSM à l’aide de cette commande :

    az dedicated-hsm create --location westus --name hsm2 --resource-group myRG \
     --stamp-id stamp2 --sku "SafeNet Luna Network HSM A790" \
     --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
     --network-interfaces private-ip-address=10.2.1.5

  4. Exécutez la commande az dedicated-hsm list pour afficher les détails de vos modules HSM actuels :

    az dedicated-hsm list --resource-group myRG

Il existe d’autres commandes qui peuvent être utiles. Utilisez la commande az dedicated-hsm update pour mettre à jour un HSM :

az dedicated-hsm update --resource-group myRG --name hsm1

Pour supprimer un HSM, utilisez la commande az dedicated-hsm delete :

az dedicated-hsm delete --resource-group myRG --name hsm1

Vérifier le déploiement

Pour vérifier que les appareils sont approvisionnés et pour afficher les attributs de l’appareil, exécutez le jeu de commandes suivant. Vérifiez que le groupe de ressources est défini de manière appropriée et que le nom de la ressource est exactement comme dans le fichier de paramètres.

subid=$(az account show --query id --output tsv)
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM1
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM2

La sortie ressemble à la sortie suivante :

{
    "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSMl",
    "identity": null,
    "kind": null,
    "location": "westus",
    "managedBy": null,
    "name": "HSM1",
    "plan": null,
    "properties": {
        "networkProfile": {
            "networkInterfaces": [
            {
            "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/networkInterfaces/HSMl_HSMnic", "privatelpAddress": "10.0.2.5",
            "resourceGroup": "HSM-RG"
            }
            L
            "subnet": {
                "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/virtualNetworks/demo-vnet/subnets/hsmsubnet", "resourceGroup": "HSM-RG"
            }
        },
        "provisioningState": "Succeeded",
        "stampld": "stampl",
        "statusMessage": "The Dedicated HSM device is provisioned successfully and ready to use."
    },
    "resourceGroup": "HSM-RG",
    "sku": {
        "capacity": null,
        "family": null,
        "model": null,
        "name": "SafeNet Luna Network HSM A790",
        "size": null,
        "tier": null
    },
    "tags": {
        "Environment": "prod",
        "resourceType": "Hsm"
    },
    "type": "Microsoft.HardwareSecurityModules/dedicatedHSMs"
}

Vous pouvez également voir les ressources à l’aide de l’explorateur de ressources Azure. Une fois dans l’Explorateur, développez « abonnements », développez votre abonnement spécifique pour HSM dédié, développez « groupes de ressources », développez le groupe de ressources que vous avez utilisé et sélectionnez enfin l’élément « ressources ».

Testez le déploiement

Tester le déploiement consiste à se connecter à une machine virtuelle pouvant accéder à un ou plusieurs HSM, puis à se connecter directement à l’appareil HSM. Ces actions confirment que le HSM est accessible. L’outil ssh est utilisé pour se connecter à la machine virtuelle. La commande est similaire à ce qui suit, mais avec le nom d’administrateur et le nom dns que vous avez spécifiés dans le paramètre.

ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com

L’adresse IP de la machine virtuelle peut également être utilisée à la place du nom DNS. Si la commande réussit, elle demande un mot de passe et vous devez l’entrer. Une fois connecté à la machine virtuelle, vous pouvez vous connecter au HSM à l’aide de l’adresse IP privée trouvée dans le portail pour la ressource d’interface réseau associée au HSM.

liste des composants

Note

Remarquez la case à cocher « Afficher les types masqués », qui, lorsqu’elle est sélectionnée, affiche les ressources HSM.

Dans la capture d’écran, cliquez sur « HSM1_HSMnic » ou « HSM2_HSMnic » pour afficher l’adresse IP privée appropriée. Sinon, la az resource show commande est un moyen d’identifier l’adresse IP appropriée.

Lorsque vous disposez de l’adresse IP correcte, exécutez la commande suivante en remplaçant cette adresse :

ssh tenantadmin@10.0.2.4

En cas de réussite, vous êtes invité à entrer un mot de passe. Le mot de passe par défaut est PASSWORD et le HSM vous demandera d’abord de modifier votre mot de passe afin de définir un mot de passe fort et d’utiliser le mécanisme que votre organisation préfère pour stocker le mot de passe et empêcher toute perte.

Important

Si vous perdez ce mot de passe, le module HSM doit être réinitialisé et cela signifie perdre vos clés.

Lorsque vous êtes connecté au HSM à l’aide de ssh, exécutez la commande suivante pour vous assurer que le HSM est opérationnel.

hsm show

La sortie doit ressembler à ceci :

Capture d’écran montrant la sortie dans la fenêtre PowerShell.

À ce stade, vous avez alloué toutes les ressources pour un déploiement à deux HSM hautement disponible et avez validé l'accès et l'état opérationnel. Toute configuration ou test supplémentaire implique davantage de travail avec l’appareil HSM lui-même. Pour cela, vous devez suivre les instructions du Guide d’administration de Thales Luna 7 HSM chapitre 7 pour initialiser le HSM et créer des partitions. Toutes les documentations et logiciels sont disponibles directement à partir de Thales pour téléchargement une fois que vous êtes inscrit dans le portail du support client Thales et que vous disposez d’un ID client. Téléchargez le logiciel client version 7.2 pour obtenir tous les composants requis.

Supprimer ou nettoyer les ressources

Si vous n’avez plus besoin du module HSM, vous pouvez le supprimer comme ressource. Le module sera alors remis dans le pool des modules disponibles. L’inquiétude évidente lors de cette opération est toute donnée client sensible qui se trouve sur l’appareil. La meilleure façon de « zeroize » un appareil consiste à saisir incorrectement le mot de passe administrateur du HSM trois fois. (Pas l’administrateur de l’appliance, l’administrateur HSM réel). Le module ne peut pas être supprimé comme ressource Azure tant qu’il n’est pas à l’état mis à zéro. C’est une mesure de sécurité visant à protéger le matériel de clé.

Note

Si vous rencontrez un problème avec toute configuration d’appareil Thales, contactez le support technique Thales.

Si vous avez terminé avec toutes les ressources du groupe de ressources, vous pouvez les supprimer avec la commande suivante :

az group delete \
   --resource-group myRG \
   --name HSMdeploy \
   --verbose

Étapes suivantes

Après avoir suivi les étapes du tutoriel, les ressources HSM dédiées sont approvisionnées et vous disposez d’un réseau virtuel avec les modules HSM nécessaires, ainsi que d’autres composants réseau pour permettre la communication avec le HSM. Vous êtes maintenant en mesure de compléter ce déploiement avec davantage de ressources, comme requis par votre architecture de déploiement préférée. Pour plus d’informations pour vous aider à planifier votre déploiement, consultez les documents Concepts. Une conception avec deux HSM dans une région primaire qui traite la disponibilité au niveau du rack, et deux HSM dans une région secondaire qui traitent la disponibilité régionale est recommandée.

  • Dernière mise à jour :