Självstudie: Distribuera HSM:er till ett befintligt virtuellt nätverk med hjälp av Azure CLI

Azure Dedicated HSM tillhandahåller en fysisk enhet för enbart kundanvändning, med fullständig administrativ kontroll och fullständigt hanteringsansvar. Eftersom tjänsten tillhandahåller fysisk maskinvara styr Microsoft hur Microsoft allokerar dessa enheter för att säkerställa effektiv kapacitetshantering. Därför är den dedikerade HSM-tjänsten i en Azure-prenumeration normalt inte synlig för resursetablering. För att få åtkomst till den dedikerade HSM-tjänsten måste du kontakta din kontoansvarige hos Microsoft för att begära registrering för den dedikerade HSM-tjänsten. Du kan bara provisionera tjänsten först efter att den här processen har slutförts utan fel.

Den här självstudien visar en typisk provisioneringsprocess där:

• En kund har redan ett virtuellt nätverk
• De har en virtuell maskin
• De måste lägga till HSM-resurser i den befintliga miljön.

En typisk distributionsarkitektur med hög tillgänglighet i flera regioner kan se ut så här:

I den här självstudien fokuserar vi på ett par HSM:er och nödvändig ExpressRoute-gateway (se Undernät 1 ovan) som integreras i ett befintligt virtuellt nätverk (se VNET 1 ovan). Alla andra resurser är Azure-standardresurser. Samma integreringsprocess kan användas för HSM:er i undernät 4 på VNET 3 ovan.

Prerequisites

Azure Dedicated HSM är för närvarande inte tillgängligt i Azure portalen. All interaktion med tjänsten måste ske via kommandoraden eller med hjälp av PowerShell. I den här självstudien används kommandoradsgränssnittet (CLI) i Azure Cloud Shell. Om du inte har använt Azure CLI tidigare följer du instruktionerna för att komma igång här: Azure CLI 2.0 Kom igång.

Antaganden:

• Du har en tilldelad Microsoft Account Manager för att kvalificera sig för registrering och användning av Azure Dedicated HSM.
• Du har gått igenom Azure Dedicated HSM registreringsprocessen och har godkänts för användning av tjänsten. Om inte, kontakta din Microsoft-konto-representant för mer information.
• Du har skapat en resursgrupp för dessa resurser och de nya som distribueras i den här självstudiekursen ansluter till den gruppen.
• Du har redan skapat nödvändiga virtuella nätverk, undernät och virtuella datorer enligt diagrammet och vill nu integrera 2 HSM:er i driftsättningen.

Alla instruktioner i den här artikeln förutsätter att du är på Azure portalen och har Cloud Shell öppet (välj ">_" längst upp till höger i portalen).

Tilldela en dedikerad HSM

Etablering av HSM:er och integrering av dem i ett befintligt virtuellt nätverk via ExpressRoute-gateway verifieras med hjälp av ssh. Den här verifieringen hjälper till att säkerställa att HSM-enheten kan nås och har grundläggande tillgänglighet för ytterligare konfigurationsaktiviteter.

Validera registrering av funktion

Alla etableringsåtgärder kräver att den dedikerade HSM-tjänsten är registrerad för din prenumeration. Kontrollera detta genom att köra följande kommandon i Azure-portalen Cloud Shell.

az feature show \
   --namespace Microsoft.HardwareSecurityModules \
   --name AzureDedicatedHSM

Kommandona ska returnera statusen "Registrerad". Om kommandona inte returnerar "Registrerad" måste du registrera dig för den här tjänsten genom att kontakta din Microsoft-konto representant.

Skapa HSM-resurser

Innan du skapar HSM-resurser finns det vissa nödvändiga resurser som du behöver. Du måste ha ett virtuellt nätverk med undernätsintervall för beräkningsresurser, HSM:er och gateway. Följande kommandon fungerar som ett exempel på vad som skulle skapa ett sådant virtuellt nätverk.

az network vnet create \
  --name myHSM-vnet \
  --resource-group myRG \
  --address-prefix 10.2.0.0/16 \
  --subnet-name compute \
  --subnet-prefix 10.2.0.0/24

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name hsmsubnet \
  --address-prefixes 10.2.1.0/24 \
  --delegations Microsoft.HardwareSecurityModules/dedicatedHSMs

az network vnet subnet create \
  --vnet-name myHSM-vnet \
  --resource-group myRG \
  --name GatewaySubnet \
  --address-prefixes 10.2.255.0/26

Det virtuella nätverket kräver också en ExpressRoute-gateway. Utan en gateway misslyckas HSM-skapandeåtgärden med ett fel vid anslutning av enheten till det virtuella nätverket. Skapa gatewayen med kommandot az network vnet-gateway create och ErGwScale-SKU:n. Azure tilldelar och hanterar gatewayens offentliga IP-adress automatiskt, så skapa inte en offentlig IP-resurs eller ange parametern --public-ip-addresses.

az network vnet-gateway create \
  --resource-group myRG \
  --name myergw \
  --vnet myHSM-vnet \
  --gateway-type ExpressRoute \
  --sku ErGwScale \
  --min-scale-unit 1 \
  --max-scale-unit 1

Det tar cirka 17 minuter att driftsätta gatewayen.

När du har konfigurerat nätverket använder du dessa Azure CLI kommandon för att etablera dina HSM:er.

1. Använd kommandot az dedicated-hsm create för att etablera den första HSM:en. HSM heter hsm1. Byt din prenumeration:

   az dedicated-hsm create --location westus --name hsm1 --resource-group myRG \
        --stamp-id stamp1 --sku "SafeNet Luna Network HSM A790" \
        --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
        --network-interfaces private-ip-address=10.2.1.4
   

   Det tar cirka 7 minuter att slutföra HSM-skapandeåtgärden.

2. Om du vill se en aktuell HSM kör du kommandot az dedicated-hsm show :

   az dedicated-hsm show --resource-group myRG --name hsm1
   

3. Etablera den andra HSM:en med hjälp av det här kommandot:

   az dedicated-hsm create --location westus --name hsm2 --resource-group myRG \
        --stamp-id stamp2 --sku "SafeNet Luna Network HSM A790" \
        --subnet id="/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myRG/providers/Microsoft.Network/virtualNetworks/myHSM-vnet/subnets/hsmsubnet" \
        --network-interfaces private-ip-address=10.2.1.5
   

4. Kör kommandot az dedicated-hsm list för att visa information om dina aktuella HSM:er:

   az dedicated-hsm list --resource-group myRG
   

Det finns några andra kommandon som kan vara användbara. Använd kommandot az dedicated-hsm update för att uppdatera en HSM:

az dedicated-hsm update --resource-group myRG --name hsm1

Om du vill ta bort en HSM använder du kommandot az dedicated-hsm delete :

az dedicated-hsm delete --resource-group myRG --name hsm1

Verifiera driftsättningen

Kontrollera att enheterna har etablerats för användning och för att se enhetsattribut kör du följande kommandouppsättning. Kontrollera att resursgruppen har angetts på rätt sätt och att resursnamnet är exakt som du har i parameterfilen.

subid=$(az account show --query id --output tsv)
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM1
az resource show \
   --ids /subscriptions/$subid/resourceGroups/myRG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSM2

Utdata ser ut ungefär som följande utdata:

{
    "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.HardwareSecurityModules/dedicatedHSMs/HSMl",
    "identity": null,
    "kind": null,
    "location": "westus",
    "managedBy": null,
    "name": "HSM1",
    "plan": null,
    "properties": {
        "networkProfile": {
            "networkInterfaces": [
            {
            "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/networkInterfaces/HSMl_HSMnic", "privatelpAddress": "10.0.2.5",
            "resourceGroup": "HSM-RG"
            }
            L
            "subnet": {
                "id": n/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/HSM-RG/providers/Microsoft.Network/virtualNetworks/demo-vnet/subnets/hsmsubnet", "resourceGroup": "HSM-RG"
            }
        },
        "provisioningState": "Succeeded",
        "stampld": "stampl",
        "statusMessage": "The Dedicated HSM device is provisioned successfully and ready to use."
    },
    "resourceGroup": "HSM-RG",
    "sku": {
        "capacity": null,
        "family": null,
        "model": null,
        "name": "SafeNet Luna Network HSM A790",
        "size": null,
        "tier": null
    },
    "tags": {
        "Environment": "prod",
        "resourceType": "Hsm"
    },
    "type": "Microsoft.HardwareSecurityModules/dedicatedHSMs"
}

Nu kan du också se resurserna med hjälp av Azure resursutforskaren. När du är i Utforskaren expanderar du "prenumerationer", expanderar din specifika prenumeration för Dedicated HSM, expanderar "resursgrupper", expanderar resursgruppen som du använde och väljer slutligen objektet "resurser".

Testa driftsättningen

Att testa driftsättningen handlar om att ansluta till en virtuell dator som kan komma åt en eller flera HSM:er och sedan ansluta direkt till HSM-enheten. Dessa åtgärder bekräftar att HSM kan nås. SSH-verktyget används för att ansluta till den virtuella datorn. Kommandot liknar följande men med det administratörsnamn och dns-namn som du angav i parametern.

ssh adminuser@hsmlinuxvm.westus.cloudapp.azure.com

IP-adressen för den virtuella datorn kan också användas i stället för DNS-namnet. Om kommandot lyckas uppmanas du att ange ett lösenord, och du bör ange det. När du har loggat in på den virtuella datorn kan du logga in på HSM med hjälp av den privata IP-adressen som finns i portalen för nätverksgränssnittsresursen som är associerad med HSM.

På skärmbilden visas lämplig privat IP-adress genom att klicka på "HSM1_HSMnic" eller "HSM2_HSMnic". Annars är az resource show-kommandot ett sätt att identifiera rätt IP-adress.

När du har rätt IP-adress kör du följande kommando och ersätt den adressen:

ssh tenantadmin@10.0.2.4

Om det lyckas uppmanas du att ange ett lösenord. Standardlösenordet är PASSWORD och HSM ber dig först att ändra ditt lösenord så ange ett starkt lösenord och använd den mekanism som din organisation föredrar för att lagra lösenordet och förhindra förlust.

När du är ansluten till HSM med ssh kör du följande kommando för att säkerställa att HSM är i drift.

hsm show

Resultatet bör se ut så här:

Nu har du allokerat alla resurser för en högtillgänglig distribution med två HSM och verifierat åtkomst och drifttillstånd. Ytterligare konfiguration eller testning innebär mer arbete med själva HSM-enheten. För detta bör du följa anvisningarna i administrationsguiden för Thales Luna 7 HSM kapitel 7 för att initiera HSM och skapa partitioner. All dokumentation och programvara kan laddas ner direkt från Thales när du har registrerat dig i Thales kundsupportportal och har ett kund-ID. Hämta klientprogramvara version 7.2 för att få alla nödvändiga komponenter.

Ta bort eller rensa resurser

Om du är klar med bara HSM-enheten kan den tas bort som en resurs och returneras till den lediga poolen. Det uppenbara problemet när du gör detta är alla känsliga kunddata som finns på enheten. Det bästa sättet att "nollställa" en enhet är att ange HSM-administratörslösenordet fel tre gånger. (Inte appliance-administratören, den faktiska HSM-administratören). Som en säkerhetsåtgärd för att skydda nyckelmaterial kan enheten inte tas bort som en Azure-resurs förrän den är i nolliserat tillstånd.

Om du är klar med alla resurser i resursgruppen kan du ta bort dem med följande kommando:

az group delete \
   --resource-group myRG \
   --name HSMdeploy \
   --verbose

Nästa steg

När du har slutfört stegen i självstudien etableras dedikerade HSM-resurser och du har ett virtuellt nätverk med nödvändiga HSM:er och ytterligare nätverkskomponenter för att möjliggöra kommunikation med HSM. Nu kan du komplettera den här driftsättningen med fler resurser efter behov enligt din föredragna driftsättningsarkitektur. Mer information om hur du planerar driftsättningen finns i konceptdokumenten. En design med två HSM:er i en primär region som hanterar tillgänglighet på racknivå, och två HSM:er i en sekundär region som hanterar regional tillgänglighet rekommenderas.

• Hög tillgänglighet
• Fysisk säkerhet
• Nätverk
• Stödbarhet
• Monitoring