Condividi tramite

Esercitazione: Creare un modulo di protezione hardware di pagamento

  • Articolo

Il modulo di protezione hardware di pagamento di Azure è un servizio "BareMetal" fornito tramite moduli di protezione hardware di pagamento Thales payShield 10K (HSM) per fornire operazioni di chiave crittografica per transazioni di pagamento critiche in tempo reale nel cloud di Azure. Il modulo di protezione hardware di pagamento di Azure è progettato specificamente per aiutare un provider di servizi e un singolo istituto finanziario ad accelerare la strategia di trasformazione digitale del sistema di pagamento e adottare il cloud pubblico. Per altre informazioni, vedere Modulo di protezione hardware di pagamento di Azure: Panoramica.

Questa esercitazione descrive come creare un modulo di protezione hardware di pagamento di Azure con l'host e la porta di gestione nella stessa rete virtuale. È invece possibile:

Nota

Se si vuole riutilizzare una rete virtuale esistente, verificare di aver soddisfatto tutti i prerequisiti e quindi leggere Come riutilizzare una rete virtuale esistente.

Prerequisiti

Importante

Il modulo di protezione hardware di pagamento di Azure è un servizio specializzato. Per qualificarsi per l'onboarding e l'uso del modulo di protezione hardware di pagamento di Azure, i clienti devono avere un Account Manager designato da Microsoft assegnato e un Cloud Service Architect (CSA).

Per richiedere informazioni sul servizio, avviare il processo di qualificazione e preparare i prerequisiti prima dell'onboarding, chiedere all’Account Manager designato da Microsoft e al CSA di inviare una richiesta tramite posta elettronica.

  • È necessario registrare i provider di risorse "Microsoft.HardwareSecurityModules" e "Microsoft.Network", nonché le funzionalità del modulo di protezione hardware di pagamento di Azure. Per eseguire questa operazione, vedere Registrare il provider di risorse del modulo di protezione hardware di Pagamento di Azure e le funzionalità del provider di risorse.

    Avviso

    È necessario applicare il flag di funzionalità "FastPathEnabled" a ogni ID sottoscrizione e aggiungere il tag "fastpathenabled" a ogni rete virtuale. Per altre informazioni, vedere Fastpathenabled.

    Per verificare rapidamente se i provider di risorse e le funzionalità sono già registrati, usare il comando az provider show dell'interfaccia della riga di comando di Azure (L'output di questo comando è più leggibile quando viene visualizzato in formato tabella.)

    az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table

    È possibile continuare con questa guida introduttiva se tutti e quattro questi comandi restituiscono "Registered".

  • È necessaria una sottoscrizione di Azure. Se non si ha un account, è possibile crearne uno gratuito.

Creare un gruppo di risorse

Un gruppo di risorse è un contenitore logico in cui vengono distribuite e gestite le risorse di Azure. Usare il comando az group create per creare un gruppo di risorse denominato myResourceGroup nell'area eastus.

az group create --name "myResourceGroup" --location "EastUS"

Creare una rete virtuale e una subnet

Prima di creare un modulo di protezione hardware di pagamento, è necessario creare una rete virtuale e una sottorete. A tale scopo, usare il comando az network vnet create dell'interfaccia della riga di comando di Azure:

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Successivamente, usare il comando az network vnet subnet update dell'interfaccia della riga di comando di Azure per aggiornare la sottorete e assegnargli una delega di "Microsoft.HardwareSecurityModules/dedicatedHSMs":

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Per verificare che la rete virtuale e la sottorete siano state create correttamente, usare il comando az network vnet subnet show dell'interfaccia della riga di comando di Azure:

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Prendere nota dell'ID della sottorete, perché è necessario per il passaggio successivo. L'ID della sottorete termina con il nome della sottorete:

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Creare un modulo di protezione hardware di pagamento

Importante

Se si creano due moduli di protezione hardware di pagamento nella stessa area, è necessario allocare uno a "stamp1" e l'altro a "stamp2". Per altre informazioni, vedere Scenari di distribuzione: distribuzione a disponibilità elevata.

Creare con host dinamici

Per creare un modulo di protezione hardware di pagamento con host dinamici, usare il comando az dedicated-hsm create. L'esempio seguente crea un modulo HSM dedicato denominato myPaymentHSM nell'area eastus, nel gruppo di risorse myResourceGroup e nella sottoscrizione, nella rete virtuale e nella sottorete specificate.

az dedicated-hsm create \
   --resource-group "myResourceGroup" \
   --name "myPaymentHSM" \
   --location "EastUS" \
   --subnet id="<subnet-id>" \
   --stamp-id "stamp1" \
   --sku "payShield10K_LMK1_CPS60"

Per visualizzare le interfacce di rete appena create, usare il comando az network nic list, specificando il gruppo di risorse:

az network nic list -g myResourceGroup -o table

Nell'output sono elencati host 1 e host 2, oltre a un'interfaccia di gestione:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Per visualizzare i dettagli di un'interfaccia di rete appena creata, usare il comando az network nic show, specificando il gruppo di risorse e il nome dell'interfaccia di rete:

az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

L'output contiene questa riga:

  "privateIPAllocationMethod": "Dynamic",

Creare con host statici

Per creare un modulo di protezione hardware di pagamento con host statici, usare il comando az dedicated-hsm create. L'esempio seguente crea un modulo HSM dedicato denominato myPaymentHSM nell'area eastus, nel gruppo di risorse myResourceGroup e nella sottoscrizione, nella rete virtuale e nella sottorete specificate.

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Se si vuole specificare anche un indirizzo IP statico per l'host di gestione, è possibile aggiungere:

  --mgmt-network-interfaces private-ip-address="10.0.0.7" \
  --mgmt-network-subnet="<subnet-id>"

Per visualizzare le interfacce di rete appena create, usare il comando az network nic list, specificando il gruppo di risorse:

az network nic list -g myResourceGroup -o table

Nell'output, l'host 1 e l'host 2 sono elencati, nonché l'interfaccia di gestione:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Per visualizzare le proprietà di un'interfaccia di rete appena creata, usare il comando az network nic show, specificando il gruppo di risorse e il nome dell'interfaccia di rete:

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

L'output contiene questa riga:

  "privateIPAllocationMethod": "Static",

Passaggi successivi

Passare all'articolo successivo per informazioni su come visualizzare il modulo di protezione hardware di pagamento.

Visualizzare i moduli di protezione hardware di pagamento

Informazioni aggiuntive: