Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Het garanderen van robuuste netwerkbeveiliging is cruciaal wanneer u Azure Cloud HSM gebruikt. Dit artikel bevat richtlijnen voor configuratie van privé-eindpunten, DNS-instellingen, vereiste poorten, NSG-regels (netwerkbeveiligingsgroep) en vm-plaatsing om onbevoegde toegang te voorkomen en de algehele beveiliging te verbeteren.
Privé-eindpunt
Gebruik privésubnetten en privé-eindpunten om de beveiliging van uw Azure Cloud HSM-implementatie te verbeteren. Ze maken beveiligde verbindingen met Azure Cloud HSM mogelijk via een privékoppeling om de connectiviteit van privé-IP-adressen vanuit uw virtuele netwerk te vergemakkelijken.
Een privé-eindpunt zorgt ervoor dat verkeer tussen uw virtuele netwerk en de Azure-service het Microsoft backbone-netwerk doorkruist voor beveiliging en privécommunicatie. Deze proactieve aanpak versterkt het beveiligingspostuur van uw toepassing door blootstelling aan potentiële bedreigingen van internet te minimaliseren.
Zie Deploy Azure Cloud HSM met behulp van de Azure-portal of Deploy Azure Cloud HSM met behulp van Azure PowerShell voor instructies voor het maken van een privé-eindpunt voor Azure Cloud HSM.
Privé-DNS
Wanneer u een privé-eindpunt voor Azure Cloud HSM maakt, wijst de service elk HSM-knooppunt een privé-DNS-hostnaam toe in de volgende indeling:
hsm1.chsm-<resource-name>-<unique-string>.privatelink.cloudhsm.azure.net
Als u deze hostnamen wilt omzetten vanuit uw virtuele netwerk, configureert u een privé-DNS-zone voor privatelink.cloudhsm.azure.net en koppelt u deze aan de virtuele netwerken die uw beheer- en toepassings-VM's bevatten. Wanneer u een privé-eindpunt maakt via de Azure-portal, kunt u automatische privé-DNS-zoneintegratie inschakelen op het tabblad DNS.
Note
Uw beheer-VM en toepassings-VM's moeten de HSM-hostnaam kunnen oplossen. Als DNS-naamomzetting mislukt, kunnen de programma's azcloudhsm_client en azcloudhsm_mgmt_util geen verbinding maken met het HSM-cluster. Controleer de DNS-naamomzetting door nslookup <hsm-hostname> uit te voeren op uw virtuele machine voordat u HSM-hulpprogramma’s uitvoert.
Vereiste poorten
Azure Cloud HSM gebruikt de volgende poorten. Zorg ervoor dat uw NSG-regels en firewalls verkeer op deze poorten van uw VM-subnetten naar het privé-eindpunt toestaan.
| Port | Richting | Tool | Purpose |
|---|---|---|---|
| 2224 | Uitgaand (VM → HSM) | azcloudhsm_client |
front-end van de client (TCP over TLS) |
| 2225 | Uitgaand (VM → HSM) | azcloudhsm_client |
Client-front-end (TCP over TLS) |
| 443 | Uitgaand (VM → HSM) | azcloudhsm_client |
Aanvragen van clients |
| 444 | Uitgaand (VM → HSM) | azcloudhsm_mgmt_util |
Aanvragen voor beheerhulpprogramma's |
| 445 | Intern | Dienst | Communicatie tussen servers (HSM-knooppunten) |
NSG-regels
Wanneer u uw beheer- en toepassings-VM's implementeert in een subnet met een NSG, voegt u uitgaande regels toe om verkeer naar uw privé-eindpunt van uw HSM toe te staan op de vereiste poorten. Voorbeeld:
| Priority | Naam | Source | Destination | Port | Protocol | Action |
|---|---|---|---|---|---|---|
| 100 | Toegestane-HSM-client | VirtualNetwork | <private-endpoint-IP> |
2224, 2225 | TCP | Toestaan |
| 110 | Toestaan-HSM-Mgmt | VirtualNetwork | <private-endpoint-IP> |
443, 444 | TCP | Toestaan |
Vervang <private-endpoint-IP> door het privé-IP-adres dat is toegewezen aan uw privé-eindpunt voor cloud-HSM of gebruik het subnetadresbereik dat het privé-eindpunt bevat.
VM-plaatsing
Azure Cloud HSM maakt gebruik van een client-daemon-architectuur. De azcloudhsm_client daemon moet worden uitgevoerd op dezelfde VM als uw toepassing, omdat de toepassing communiceert met de daemon via een lokale socket. Dit betekent:
-
Beheer-VM: gebruikt voor de eerste HSM-installatie, gebruikersbeheer, sleutelbeheer en back-upbewerkingen. Wordt uitgevoerd
azcloudhsm_mgmt_utilenazcloudhsm_util. -
Toepassings-VM’s: hierop worden uw workloads uitgevoerd (bijvoorbeeld Apache, NGINX, SQL Server of aangepaste apps) en elk moet een eigen instantie van
azcloudhsm_clientuitvoeren.
Beide VM-typen moeten zich in een virtueel netwerk bevinden dat verbinding heeft met het privé-eindpunt van de Cloud HSM.
Tip
U wordt aangeraden Cloud HSM-resources in een afzonderlijke resourcegroep te plaatsen van de client-VM's en het virtuele netwerk. Dit verbetert het beheer en de beveiligingsisolatie. Zie Deploy Azure Cloud HSM met behulp van de Azure-portal voor meer informatie.
Lokale connectiviteit
Als uw ondertekeningsservers of toepassingen on-premises worden uitgevoerd, kunt u deze verbinden met Azure Cloud HSM met behulp van Azure VPN-gateway:
- Site-naar-site-VPN: aanbevolen voor permanente on-premises connectiviteit. Zie Zelfstudie: Een site-naar-site-VPN-verbinding maken in de Azure-portal voor installatie-instructies.
- Punt-naar-site-VPN: geschikt voor afzonderlijke werkstations of kleinere implementaties.
In beide gevallen moet de on-premises host de azcloudhsm_client daemon uitvoeren en moeten de IP-adressen van het privé-eindpunt van de HSM via de VPN-tunnel kunnen bereiken.