Guida introduttiva: Creare un HSM dedicato di Azure usando la CLI di Azure

Questo articolo descrive come creare e gestire un HSM dedicato di Azure usando l'estensione hardware security-modules interfaccia della riga di comando di Azure.

Prerequisiti

• Una sottoscrizione di Azure. Se non ne hai uno, puoi creare un account gratuito .

  Se si dispone di più sottoscrizioni di Azure, impostare la sottoscrizione da usare per la fatturazione con il comando az account set dell'interfaccia della riga di comando di Azure.

  az account set --subscription 00000000-0000-0000-0000-000000000000
  

• È possibile utilizzare l'ambiente Bash in Azure Cloud Shell. Per altre informazioni, vedere Introduzione ad Azure Cloud Shell.

  

• Se preferisci eseguire localmente i comandi di riferimento della CLI, installa l'interfaccia della riga di comando di Azure. Per l'esecuzione in Windows o macOS, è consigliabile eseguire l'interfaccia della riga di comando di Azure in un contenitore Docker. Per altre informazioni, vedere Come eseguire l'interfaccia della riga di comando di Azure in un contenitore Docker.

  • Se usi un'installazione locale, accedi all'interfaccia della riga di comando di Azure usando il comando az login. Per completare il processo di autenticazione, seguire la procedura visualizzata nel terminale. Per altre opzioni di accesso, vedere Eseguire l'autenticazione ad Azure con l'interfaccia della riga di comando di Azure.

  • Quando ti viene richiesto, installa l'estensione interfaccia della riga di comando di Azure al primo utilizzo. Per altre informazioni sulle estensioni, vedere Usare e gestire le estensioni con l'interfaccia della riga di comando di Azure.

  • Esegui az version per trovare la versione e le librerie dipendenti installate. Per eseguire l'aggiornamento alla versione più recente, avviare az upgrade.

• L'estensione interfaccia della riga di comando di Azure hardware-security-modules. Installalo con il comando az extension add:

  az extension add --name hardware-security-modules
  

• I provider di risorse e i flag di funzionalità necessari sono registrati per la sottoscrizione. Registrare le AzureDedicatedHsm funzionalità e DedicatedHsmEnabled e quindi registrare il Microsoft.HardwareSecurityModules provider. Se la DedicatedHsmEnabled funzionalità non è registrata, i comandi HSM dedicati restituiscono un InvalidResourceType errore.

  az feature register --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm
  az feature register --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled
  az provider register -n Microsoft.HardwareSecurityModules
  

  La registrazione delle funzionalità può richiedere alcuni minuti. Verificare che entrambe le funzionalità visualizzino uno stato di Registered prima di continuare:

  az feature show --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm --query properties.state
  az feature show --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled --query properties.state
  

Creare un gruppo di risorse

Un gruppo di risorse di Azure è un contenitore logico per la distribuzione e la gestione delle risorse di Azure come gruppo. Se non si ha già un gruppo di risorse per il modulo di protezione hardware dedicato, crearne uno usando il comando az group create . L'esempio seguente crea un gruppo di risorse denominato myRG nell'area westus di Azure:

az group create --name myRG --location westus

Creare le risorse di rete

Un modulo di protezione hardware dedicato viene inserito in una subnet nella rete virtuale e la rete virtuale deve avere un gateway ExpressRoute. Senza un gateway, l'operazione di creazione non riesce e restituisce un errore durante la connessione del dispositivo alla rete virtuale.

1. Creare una rete virtuale con una subnet per le risorse di calcolo usando il comando az network vnet create :

   az network vnet create \
      --name myHSM-vnet \
      --resource-group myRG \
      --address-prefix 10.2.0.0/16 \
      --subnet-name compute \
      --subnet-prefix 10.2.0.0/24
   

2. Aggiungere una subnet per il modulo di protezione hardware usando il comando az network vnet subnet create . Delega la subnet a Microsoft.HardwareSecurityModules/dedicatedHSMs e usa un nome diverso dal nome della rete virtuale.

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name hsmsubnet \
      --address-prefixes 10.2.1.0/24 \
      --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs
   

3. Aggiungere l'elemento GatewaySubnet richiesto dal gateway ExpressRoute:

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name GatewaySubnet \
      --address-prefixes 10.2.255.0/26
   

4. Creare il gateway ExpressRoute usando il comando az network vnet-gateway create . Usare lo ErGwScale SKU. Azure assegna e gestisce automaticamente l'indirizzo IP pubblico del gateway, quindi non creare una risorsa IP pubblica o passare il --public-ip-addresses parametro.

   az network vnet-gateway create \
      --resource-group myRG \
      --name myergw \
      --vnet myHSM-vnet \
      --gateway-type ExpressRoute \
      --sku ErGwScale \
      --min-scale-unit 1 \
      --max-scale-unit 1
   

   L'implementazione del gateway richiede circa 17 minuti.

   Note

   Negli Stati Uniti occidentali lo ErGwScale SKU ha funzionato per questo scenario. Lo ErGw1AZ SKU è stato rifiutato con InvalidGatewaySkuSpecifiedForGatewayDeploymentType e lo Standard SKU è fallito con GatewayError.

Creare un modulo di protezione hardware dedicato

Per creare un HSM dedicato, usare il comando az dedicated-hsm create. Nell'esempio seguente viene eseguito il provisioning di un modulo di protezione hardware dedicato denominato hsm1 nell'area geografica myRG e nel gruppo di risorse westus. Passare l'ID risorsa della subnet HSM delegata e assegnare un indirizzo IP privato dall'interno dell'intervallo di indirizzi della subnet. I parametri obbligatori sono name, locatione resource group.

az dedicated-hsm create \
   --resource-group myRG \
   --name "hsm1" \
   --location "westus" \
   --stamp-id "stamp1" \
   --sku "SafeNet Luna Network HSM A790" \
   --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
   --network-interfaces private-ip-address="10.2.1.4" \
   --tags resourceType="hsm" Environment="test"

Il completamento dell'operazione di creazione dell'HSM richiede circa 7 minuti.

Ottieni un modulo di protezione hardware dedicato (HSM)

Per recuperare un modulo HSM dedicato corrente, eseguire il comando az dedicated-hsm show. L'esempio seguente recupera il modulo HSM dedicato hsm1 nel gruppo di risorse myRG.

az dedicated-hsm show --resource-group myRG --name hsm1

Aggiornare un HSM dedicato

Usare il comando az dedicated-hsm update per aggiornare un HSM dedicato. L'esempio seguente aggiorna il modulo HSM dedicato hsm1 nel gruppo di risorse myRG e i relativi tag:

az dedicated-hsm update --resource-group myRG --name hsm1 --tags resourceType="hsm" Environment="prod" Slice="A"

Elencare i moduli HSM dedicati

Eseguire il comando az dedicated-hsm list per ottenere informazioni sui moduli di protezione hardware dedicati correnti. L'esempio seguente elenca i moduli HSM dedicati nel gruppo di risorse myRG:

az dedicated-hsm list --resource-group myRG

Pulire le risorse

Rimuovere un HSM dedicato

Dopo aver zeroizzato l'HSM, usare il comando az dedicated-hsm delete per rimuoverlo. L'esempio seguente elimina il modulo HSM dedicato hsm1 dal gruppo di risorse myRG:

az dedicated-hsm delete --resource-group myRG --name hsm1

Eliminare il gruppo di risorse

Dopo l'eliminazione del modulo di protezione hardware, è possibile eliminare il gruppo di risorse se non è più necessario eseguendo il comando az group delete . Questo comando elimina il gruppo e tutte le risorse in esso contenute, incluse quelle non correlate al modulo di protezione hardware dedicato. L'esempio seguente elimina il myRG gruppo di risorse e tutti gli elementi in esso contenuti:

az group delete --name myRG

Passaggi successivi

Per altre informazioni sul modulo di protezione hardware dedicato di Azure, vedere HSM dedicato di Azure.