Szybki start: tworzenie dedykowanego modułu HSM platformy Azure przy użyciu interfejsu wiersza polecenia platformy Azure

W tym artykule opisano sposób tworzenia Azure Dedicated HSM i zarządzania nim przy użyciu rozszerzenia interfejsu wiersza polecenia platformy Azure hardware-security-modules.

Wymagania wstępne

• Subskrypcja platformy Azure. Jeśli go nie masz, możesz utworzyć bezpłatne konto .

  Jeśli masz więcej niż jedną subskrypcję platformy Azure, ustaw subskrypcję do użycia na potrzeby rozliczeń za pomocą polecenia az account set interfejsu wiersza polecenia platformy Azure.

  az account set --subscription 00000000-0000-0000-0000-000000000000
  

• Użyj środowiska Bash w Azure Cloud Shell. Aby uzyskać więcej informacji, zobacz Get started with Azure Cloud Shell.

  

• Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj Azure CLI. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie Azure CLI w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić Azure CLI w kontenerze Docker.

  • Jeśli korzystasz z instalacji lokalnej, zaloguj się do Azure CLI za pomocą polecenia az login. Aby zakończyć proces uwierzytelniania, wykonaj kroki wyświetlane na Twoim terminalu. Aby uzyskać inne opcje logowania, zobacz Uwierzytelnianie na platformie Azure przy użyciu interfejsu wiersza polecenia platformy Azure.

  • Gdy zostaniesz o to poproszony/a, zainstaluj rozszerzenie Azure CLI przy pierwszym użyciu. Aby uzyskać więcej informacji na temat rozszerzeń, zobacz Używanie rozszerzeń i zarządzanie nimi za pomocą interfejsu wiersza polecenia platformy Azure.

  • Uruchom az version, aby sprawdzić zainstalowaną wersję i biblioteki zależne. Aby zaktualizować do najnowszej wersji, uruchom az upgrade.

• Rozszerzenie Azure CLI hardware-security-modules. Zainstaluj go za pomocą polecenia az extension add :

  az extension add --name hardware-security-modules
  

• Wymagani dostawcy zasobów i flagi funkcji są zarejestrowane dla twojej subskrypcji. Zarejestruj funkcje AzureDedicatedHsm i DedicatedHsmEnabled , a następnie zarejestruj dostawcę Microsoft.HardwareSecurityModules . Jeśli funkcja DedicatedHsmEnabled nie jest zarejestrowana, dedykowane polecenia HSM zwracają InvalidResourceType błąd.

  az feature register --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm
  az feature register --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled
  az provider register -n Microsoft.HardwareSecurityModules
  

  Rejestracja funkcji może potrwać kilka minut. Upewnij się, że obie funkcje mają stan Registered przed kontynuowaniem:

  az feature show --namespace Microsoft.HardwareSecurityModules --name AzureDedicatedHsm --query properties.state
  az feature show --namespace Microsoft.HardwareSecurityModules --name DedicatedHsmEnabled --query properties.state
  

Tworzenie grupy zasobów

Grupa zasobów platformy Azure to logiczny kontener do wdrażania zasobów platformy Azure i zarządzania nimi jako grupy. Jeśli nie masz jeszcze grupy zasobów dedykowanego modułu HSM, utwórz grupę zasobów przy użyciu polecenia az group create . Poniższy przykład tworzy grupę zasobów o nazwie myRG w westus regionie świadczenia usługi Azure:

az group create --name myRG --location westus

Utwórz zasoby sieciowe

Dedykowany moduł HSM jest wstrzykiwany do podsieci w sieci wirtualnej, a sieć wirtualna musi mieć bramę usługi ExpressRoute. Bez bramy operacja tworzenia kończy się niepowodzeniem z powodu błędu podczas łączenia urządzenia z siecią wirtualną.

1. Utwórz sieć wirtualną z podsiecią dla zasobów obliczeniowych przy użyciu polecenia az network vnet create :

   az network vnet create \
      --name myHSM-vnet \
      --resource-group myRG \
      --address-prefix 10.2.0.0/16 \
      --subnet-name compute \
      --subnet-prefix 10.2.0.0/24
   

2. Dodaj podsieć dla modułu HSM przy użyciu polecenia az network vnet subnet create . Deleguj podsieć do elementu Microsoft.HardwareSecurityModules/dedicatedHSMs i użyj nazwy innej niż nazwa sieci wirtualnej.

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name hsmsubnet \
      --address-prefixes 10.2.1.0/24 \
      --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs
   

3. Dodaj element GatewaySubnet, którego wymaga brama usługi ExpressRoute:

   az network vnet subnet create \
      --resource-group myRG \
      --vnet-name myHSM-vnet \
      --name GatewaySubnet \
      --address-prefixes 10.2.255.0/26
   

4. Utwórz bramę usługi ExpressRoute przy użyciu polecenia az network vnet-gateway create . Użyj ErGwScale SKU. Azure automatycznie przypisuje publiczny adres IP bramy i zarządza nim, więc nie twórz zasobu publicznego adresu IP ani nie przekazuj parametru--public-ip-addresses.

   az network vnet-gateway create \
      --resource-group myRG \
      --name myergw \
      --vnet myHSM-vnet \
      --gateway-type ExpressRoute \
      --sku ErGwScale \
      --min-scale-unit 1 \
      --max-scale-unit 1
   

   Wdrożenie bramy trwa około 17 minut.

   Note

   W regionie West US jednostka ErGwScale SKU działała w tym scenariuszu. Jednostka SKU ErGw1AZ została odrzucona z powodu InvalidGatewaySkuSpecifiedForGatewayDeploymentType, a jednostka SKU Standard zakończyła się niepowodzeniem z powodu GatewayError.

Utwórz dedykowany moduł HSM

Aby utworzyć dedykowany moduł HSM, użyj polecenia az dedicated-hsm create . Poniższy przykład aprowizuje dedykowany moduł HSM o nazwie hsm1 w westus regionie i myRG grupie zasobów. Przekaż identyfikator zasobu delegowanej podsieci HSM i przypisz prywatny adres IP z zakresu adresów tej podsieci. Wymagane parametry to name, location, i resource group.

az dedicated-hsm create \
   --resource-group myRG \
   --name "hsm1" \
   --location "westus" \
   --stamp-id "stamp1" \
   --sku "SafeNet Luna Network HSM A790" \
   --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
   --network-interfaces private-ip-address="10.2.1.4" \
   --tags resourceType="hsm" Environment="test"

Operacja tworzenia modułu HSM trwa około 7 minut.

Zdobądź dedykowany HSM

Aby uzyskać aktualny dedykowany moduł HSM, uruchom polecenie az dedicated-hsm show. Poniższy przykład pobiera hsm1 dedykowany moduł HSM w myRG grupie zasobów.

az dedicated-hsm show --resource-group myRG --name hsm1

Aktualizowanie dedykowanego modułu HSM

Użyj polecenia az dedicated-hsm update , aby zaktualizować dedykowany moduł HSM. Poniższy przykład aktualizuje dedykowany moduł HSM w grupie zasobów hsm1 oraz jego tagi:

az dedicated-hsm update --resource-group myRG --name hsm1 --tags resourceType="hsm" Environment="prod" Slice="A"

Lista dedykowanych modułów HSM

Uruchom polecenie az dedicated-hsm list, aby uzyskać informacje o obecnych dedykowanych modułach HSM. W poniższym przykładzie wymieniono dedykowane moduły HSM w grupie zasobów myRG.

az dedicated-hsm list --resource-group myRG

Uprzątnij zasoby

Usuń dedykowany moduł HSM

Po wyzerowaniu modułu HSM użyj polecenia az dedicated-hsm delete, aby go usunąć. Poniższy przykład usuwa hsm1 dedykowany moduł HSM z myRG grupy zasobów:

az dedicated-hsm delete --resource-group myRG --name hsm1

Usuwanie grupy zasobów

Po usunięciu modułu HSM możesz usunąć grupę zasobów, jeśli nie jest już potrzebna, uruchamiając polecenie az group delete . To polecenie usuwa grupę i wszystkie zasoby w niej, w tym wszystkie niezwiązane z dedykowanym modułem HSM. Poniższy przykład usuwa grupę myRG zasobów i wszystkie elementy w niej:

az group delete --name myRG

Dalsze kroki

Aby dowiedzieć się więcej na temat dedykowanego modułu HSM platformy Azure, zobacz Dedykowany moduł HSM platformy Azure.