Partager via

Tutoriel : Créer un HSM de paiement avec un port hôte et de gestion dans différents réseaux virtuels à l’aide d’un modèle ARM

Azure Payment HSM est un service « BareMetal » fourni à l’aide de modules de sécurité matériel de paiement Thales payShield 10K (HSM) pour fournir des opérations de clé de chiffrement pour les transactions de paiement en temps réel et critiques dans le cloud Azure. Azure Payment HSM est conçu spécifiquement pour aider un fournisseur de services et une institution financière individuelle à accélérer la stratégie de transformation numérique de son système de paiement et à adopter le cloud public. Pour plus d’informations, consultez Azure Payment HSM : Vue d’ensemble.

Ce tutoriel explique comment créer un HSM de paiement avec l’hôte et le port de gestion dans différents réseaux virtuels, à l’aide d’Azure CLI ou d’Azure PowerShell. Vous pouvez à la place :

Un modèle Azure Resource Manager est un fichier JSON (JavaScript Object Notation) qui définit l’infrastructure et la configuration de votre projet. Le modèle utilise la syntaxe déclarative. Vous décrivez votre déploiement prévu sans écrire la séquence de commandes de programmation pour créer le déploiement.

Prerequisites

Important

Azure Payment HSM est un service spécialisé. Pour bénéficier de l’intégration et de l’utilisation d’Azure Payment HSM, les clients doivent disposer d’un gestionnaire de comptes Microsoft affecté et d’un architecte de services cloud (CSA).

Pour vous renseigner sur le service, démarrez le processus de qualification et préparez les conditions préalables avant l’intégration, demandez à votre responsable de compte Microsoft et à CSA d’envoyer une demande par e-mail.

  • Vous devez inscrire les fournisseurs de ressources « Microsoft.HardwareSecurityModules » et « Microsoft.Network », ainsi que les fonctionnalités azure Payment HSM. Les étapes à suivre sont décrites dans Inscrire le fournisseur de ressources Azure Payment HSM et les fonctionnalités du fournisseur de ressources.

    Pour déterminer rapidement si les fournisseurs de ressources et les fonctionnalités sont déjà inscrits, utilisez la commande Azure CLI az provider show . (La sortie de cette commande est plus lisible lorsqu’elle est affichée au format table.)

    az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table

    Vous pouvez continuer avec ce démarrage rapide si les quatre commandes suivantes retournent « Enregistré ».

  • Vous devez disposer d’un abonnement Azure. Vous pouvez créer un compte gratuit si vous n’en avez pas.

Créer un groupe de ressources

Un groupe de ressources est un conteneur logique dans lequel les ressources Azure sont déployées et gérées. Utilisez la commande az group create pour créer un groupe de ressources nommé myResourceGroup à l’emplacement eastus.

az group create --name "myResourceGroup" --location "EastUS"

Créer des réseaux et des sous-réseaux virtuels

Avant de créer un HSM de paiement, vous devez d’abord créer un réseau virtuel/sous-réseau pour l’hôte, et un autre réseau virtuel/sous-réseau pour le port de gestion.

Tout d’abord, utilisez la commande Azure CLI az network vnet create pour créer le réseau virtuel de l’hôte :

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Ensuite, utilisez la commande Azure CLI az network vnet subnet update pour mettre à jour le sous-réseau et lui donner une délégation de « Microsoft.HardwareSecurityModules/dedicatedHSMs » :

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Pour vérifier que le réseau virtuel et le sous-réseau ont été créés correctement, utilisez la commande Azure CLI az network vnet subnet show :

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Notez l’ID de sous-réseau de l’hôte, qui est utilisé lors de la création du HSM de paiement. L’ID du sous-réseau se termine par le nom du sous-réseau :

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Créez maintenant un autre réseau virtuel et un sous-réseau pour le port de gestion :

az network vnet create -g "myResourceGroup" -n "myManagementVNet" --address-prefixes "10.1.0.0/16" --tags "fastpathenabled=True" --subnet-name "myManagementSubnet" --subnet-prefix "10.1.0.0/24"

Là encore, utilisez la commande azure CLI az network vnet subnet update pour mettre à jour le sous-réseau et lui donner une délégation de « Microsoft.HardwareSecurityModules/dedicatedHSMs » :

az network vnet subnet update -g "myResourceGroup" --vnet-name "myManagementVNet" -n "myManagementSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Pour vérifier que le réseau virtuel de gestion et le sous-réseau ont été créés correctement, utilisez la commande Azure CLI az network vnet subnet show :

az network vnet subnet show -g "myResourceGroup" --vnet-name "myManagementVNet" -n "myManagementSubnet"

Vous avez également besoin de l’ID de sous-réseau de la gestion lors de la création du HSM de paiement.

Créer un HSM de paiement

Créer avec des hôtes dynamiques

Pour créer un HSM de paiement avec des hôtes dynamiques, utilisez la commande az dedicated-hsm create . L’exemple suivant crée un HSM de paiement nommé myPaymentHSM dans la région eastus, le groupe de ressources myResourceGroup et l’abonnement, le réseau virtuel et le sous-réseau spécifiés :

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<host-subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --mgmt-network-subnet id="<management-subnet-id>"

Pour afficher les interfaces réseau nouvellement créées, utilisez la commande az network nic list , en fournissant le groupe de ressources :

az network nic list -g myResourceGroup -o table

Dans la sortie, l’hôte 1 et l’hôte 2 sont répertoriés, ainsi qu’une interface de gestion :

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Pour afficher les interfaces réseau nouvellement créées, utilisez la commande az network nic show , en fournissant le groupe de ressources et le nom de l’interface réseau :

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

La sortie contient cette ligne :

  "privateIPAllocationMethod": "Dynamic",

Créer avec des hôtes statiques

Pour créer un HSM de paiement avec des hôtes statiques, utilisez la commande az dedicated-hsm create . L’exemple suivant crée un HSM de paiement nommé myPaymentHSM dans la région eastus, le groupe de ressources myResourceGroup et l’abonnement, le réseau virtuel et le sous-réseau spécifiés :

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --mgmt-network-subnet id="<management-subnet-id>"
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Si vous souhaitez également spécifier une adresse IP statique pour l’hôte de gestion, vous pouvez ajouter :

  --mgmt-network-interfaces private-ip-address="10.0.0.7"

Pour afficher les interfaces réseau nouvellement créées, utilisez la commande az network nic list , en fournissant le groupe de ressources :

az network nic list -g myResourceGroup -o table

Dans la sortie, l’hôte 1 et l’hôte 2 sont répertoriés, ainsi que l’interface de gestion :

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Pour afficher les propriétés d’une interface réseau, utilisez la commande az network nic show , en fournissant le groupe de ressources et le nom de l’interface réseau :

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

La sortie contient cette ligne :

  "privateIPAllocationMethod": "Static",

Étapes suivantes

Passez à l’article suivant pour découvrir comment afficher votre HSM de paiement.

Afficher vos modules HSM de paiement

Informations complémentaires :

  • Last updated on