Tutorial: Criar um HSM de pagamento com host e porta de gerenciamento em diferentes redes virtuais usando o modelo do ARM

HSM de Pagamento do Azure é um serviço "BareMetal" fornecido usando módulos de segurança de hardware de pagamento (HSM) Thales payShield 10K para fornecer operações de chave criptográfica para transações de pagamento críticas em tempo real na nuvem do Azure. O HSM de Pagamento do Azure foi projetado especificamente para ajudar um provedor de serviços e uma instituição financeira individual a acelerar a estratégia de transformação digital de seu sistema de pagamento e adotar a nuvem pública. Para obter mais informações, consulte HSM de Pagamento do Azure: Visão geral.

Este tutorial descreve como criar um HSM de pagamento com o host e a porta de gerenciamento em diferentes redes virtuais, usando a CLI do Azure ou o Azure PowerShell. Em vez disso, você pode:

Um modelo do Azure Resource Manager é um arquivo JSON (JavaScript Object Notation) que define a infraestrutura e a configuração do seu projeto. O modelo usa sintaxe declarativa. Você descreve a implantação pretendida sem escrever a sequência de comandos de programação para criar a implantação.

Pré-requisitos

Importante

O HSM de Pagamento do Azure é um serviço especializado. Para se qualificar para integração e uso do HSM de Pagamento do Azure, os clientes devem ter um Gerenciador de Contas da Microsoft atribuído e ter um CSA (Arquiteto de Serviços de Nuvem).

Para saber mais sobre o serviço, inicie o processo de qualificação e prepare os pré-requisitos antes do embarque, peça ao gerente de conta da Microsoft e ao CSA para enviar uma solicitação por email.

Você deve registrar os provedores de recursos "Microsoft.HardwareSecurityModules" e "Microsoft.Network", bem como os recursos do HSM de Pagamento do Azure. As etapas para fazer isso estão em Registrar o provedor de recursos do HSM de Pagamento do Azure e as funcionalidades do provedor de recursos.

Para verificar rapidamente se os provedores de recursos e os recursos já estão registrados, use o comando az provider show da CLI do Azure. (A saída desse comando é mais legível quando exibida em formato de tabela.)
```
az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table
```
Você pode continuar com este início rápido se todos esses quatro comandos retornarem "Registrado".
Você precisa ter uma assinatura do Azure. Você pode criar uma conta gratuita se não tiver uma.

Utilize o ambiente Bash no Azure Cloud Shell. Para obter mais informações, confira Introdução ao Azure Cloud Shell.
Se você preferir executar comandos de referência da CLI localmente, instale a CLI do Azure. Se você estiver executando no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.
- Se você estiver usando uma instalação local, entre na CLI do Azure usando o comando az login . Para concluir o processo de autenticação, siga as etapas exibidas em seu terminal. Para obter outras opções de entrada, consulte Autenticar no Azure usando a CLI do Azure.
- Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar e gerenciar extensões com a CLI do Azure.
- Execute o comando az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para atualizar para a versão mais recente, execute az upgrade.

Um grupo de recursos é um contêiner lógico no qual os recursos do Azure são implantados e gerenciados. Use o comando az group create para criar um grupo de recursos chamado myResourceGroup na localização eastus.

az group create --name "myResourceGroup" --location "EastUS"

Um grupo de recursos é um contêiner lógico no qual os recursos do Azure são implantados e gerenciados. Utilize o cmdlet New-AzResourceGroup do PowerShell do Azure para criar um grupo de recursos chamado myResourceGroup na região eastus.

New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"

Criar redes virtuais e sub-redes

Antes de criar um HSM de pagamento, primeiro você deve criar uma rede virtual/sub-rede para o host e uma rede virtual/sub-rede diferente para a porta de gerenciamento.

Azure CLI
Azure PowerShell

Primeiro, use o comando az network vnet create da CLI do Azure para criar a rede virtual para o host:

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Posteriormente, use o comando az network vnet subnet update da CLI do Azure para atualizar a sub-rede e conceder a ela uma delegação de "Microsoft.HardwareSecurityModules/dedicatedHSMs".

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Para verificar se a VNet e a sub-rede foram criadas corretamente, use o comando az network vnet show da CLI do Azure:

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Anote a ID da sub-rede do host, que é usada ao criar o HSM de pagamento. A ID da sub-rede termina com o nome da sub-rede:

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Agora, crie outra rede virtual e uma sub-rede para a porta de gerenciamento:

az network vnet create -g "myResourceGroup" -n "myManagementVNet" --address-prefixes "10.1.0.0/16" --tags "fastpathenabled=True" --subnet-name "myManagementSubnet" --subnet-prefix "10.1.0.0/24"

Novamente, use o comando Azure CLI az network vnet subnet update para atualizar a sub-rede e conceder a ela uma delegação de "Microsoft.HardwareSecurityModules/dedicatedHSMs":

az network vnet subnet update -g "myResourceGroup" --vnet-name "myManagementVNet" -n "myManagementSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Para verificar se a VNet de gerenciamento e a sub-rede foram criadas corretamente, use o comando az network vnet show da CLI do Azure:

az network vnet subnet show -g "myResourceGroup" --vnet-name "myManagementVNet" -n "myManagementSubnet"

Você também precisa da ID da sub-rede de gerenciamento ao criar o HSM de pagamento.

Primeiro, defina algumas variáveis para uso na criação da VNet/sub-rede do anfitrião:

$VNetAddressPrefix = @("10.0.0.0/16")
$SubnetAddressPrefix = "10.0.0.0/24"
$tags = @{fastpathenabled="true"}

Use o cmdlet New-AzDelegation do Azure PowerShell para criar uma delegação de serviço a ser adicionada à sub-rede do host e salve a saída para a $myDelegation variável.

$myDelegation = New-AzDelegation -Name "myHSMDelegation" -ServiceName "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Use o cmdlet New-AzVirtualNetworkSubnetConfig do Azure PowerShell para criar uma configuração de sub-rede de rede virtual e salve a saída na $myPHSMSubnet variável:

$myPHSMSubnetConfig = New-AzVirtualNetworkSubnetConfig -Name "myPHSMSubnet" -AddressPrefix $SubnetAddressPrefix -Delegation $myDelegation

Observação

O cmdlet New-AzVirtualNetworkSubnetConfig gerará um aviso, que você pode ignorar com segurança.

Para criar uma Rede Virtual do Azure, use o cmdlet do Azure PowerShell New-AzVirtualNetwork:

New-AzVirtualNetwork -Name "myVNet" -ResourceGroupName "myResourceGroup" -Location "EastUS" -Tag $tags -AddressPrefix $VNetAddressPrefix -Subnet $myPHSMSubnetConfig

Para verificar se a VNet foi criada corretamente, use o cmdlet Get-AzVirtualNetwork do Azure PowerShell:

Get-AzVirtualNetwork -Name "myVNet" -ResourceGroupName "myResourceGroup"

Anote a ID da sub-rede, que é usada na próxima etapa. A ID da sub-rede termina com o nome da sub-rede:

"Id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Agora, crie outra rede virtual e uma sub-rede para a porta de gerenciamento. Primeiro, defina novas variáveis:

$ManagementVNetAddressPrefix = @("10.1.0.0/16")
$ManagementSubnetAddressPrefix = "10.1.0.0/24"
$myManagementSubnetConfig = New-AzVirtualNetworkSubnetConfig -Name "myManagementSubnet" -AddressPrefix $ManagementSubnetAddressPrefix -Delegation $myDelegation

Use o cmdlet New-AzVirtualNetwork do Azure PowerShell para criar a rede virtual de gerenciamento e a sub-rede.

New-AzVirtualNetwork -Name "myManagementVNet" -ResourceGroupName "myResourceGroup" -Location "EastUS" -Tag $tags -AddressPrefix $ManagementVNetAddressPrefix -Subnet $myManagementSubnetConfig

Para verificar se a VNet foi criada corretamente, use o cmdlet Get-AzVirtualNetwork do Azure PowerShell:

Get-AzVirtualNetwork -Name "myManagementVNet" -ResourceGroupName "myResourceGroup"

Você também precisa da ID da sub-rede de gerenciamento ao criar o HSM de pagamento.

Criar um HSM de pagamento

Criar com hosts dinâmicos

Azure CLI
Azure PowerShell

Para criar um HSM de pagamento com hosts dinâmicos, use o comando az dedicated-hsm create . O seguinte exemplo provisiona um HSM de pagamento chamado myPaymentHSM na região eastus, no grupo de recursos myResourceGroup e na assinatura, na rede virtual e na sub-rede especificadas:

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<host-subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --mgmt-network-subnet id="<management-subnet-id>"

Para ver as interfaces de rede recém-criadas, use o comando az network nic list fornecendo o grupo de recursos:

az network nic list -g myResourceGroup -o table

Na saída, o host 1 e o host 2 estão listados, bem como uma interface de gerenciamento:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Para ver as interfaces de rede recém-criadas, use o comando az network nic show, fornecendo o grupo de recursos e o nome da interface de rede.

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

A saída contém esta linha:

  "privateIPAllocationMethod": "Dynamic",

Para criar um HSM de pagamento com hosts dinâmicos, use o cmdlet New-AzDedicatedHsm e a ID da VNet da etapa anterior:

New-AzDedicatedHsm -Name "myPaymentHSM" -ResourceGroupName "myResourceGroup" -Location "East US" -Sku "payShield10K_LMK1_CPS60" -StampId "stamp1" -SubnetId "<subnet-id>" -ManagementSubnetId "<ManagementSubnetId>"

A saída da criação do HSM de pagamento será parecida com esta:

Name  Provisioning State SKU                     Location
----  ------------------ ---                     --------
myHSM Succeeded          payShield10K_LMK1_CPS60 East US

Para ver as interfaces de rede recém-criadas, use o cmdlet Get-AzNetworkInterface, fornecendo o grupo de recursos:

Get-AzNetworkInterface -ResourceGroupName myResourceGroup | Format-Table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

ResourceGroupName Name                     Location ...
----------------- ----                     -------- ---
myResourceGroup   myPaymentHSM_HSMHost1Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMHost2Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMMgmtNic  eastus   ...

O portal do Azure mostra o "método de alocação de IP privado" como "Dinâmico":

Criar com hosts estáticos

Azure CLI
Azure PowerShell

Para criar um HSM de pagamento com hosts estáticos, use o comando az dedicated-hsm create . O seguinte exemplo provisiona um HSM de pagamento chamado myPaymentHSM na região eastus, no grupo de recursos myResourceGroup e na assinatura, na rede virtual e na sub-rede especificadas:

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --mgmt-network-subnet id="<management-subnet-id>"
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Se você também quiser especificar um IP estático para o host de gerenciamento, poderá adicionar:

  --mgmt-network-interfaces private-ip-address="10.0.0.7"

Para ver as interfaces de rede recém-criadas, use o comando az network nic list fornecendo o grupo de recursos:

az network nic list -g myResourceGroup -o table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Para exibir as propriedades de uma interface de rede, use o comando az network nic show fornecendo o grupo de recursos e o nome da interface de rede.

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

A saída contém esta linha:

  "privateIPAllocationMethod": "Static",

Para criar um HSM de pagamento com hosts estáticos, use o cmdlet New-AzDedicatedHsm e a ID da VNet da etapa anterior:

New-AzDedicatedHsm -Name "myPaymentHSM" -ResourceGroupName "myResourceGroup" -Location "East US" -Sku "payShield10K_LMK1_CPS60" -StampId "stamp1" -SubnetId "<host-subnet-id>" -NetworkInterface (@{PrivateIPAddress = '10.0.0.5'}, @{PrivateIPAddress = '10.0.0.6'}) -ManagementNetworkInterface @{PrivateIPAddress = '10.1.0.5'} -ManagementSubnetId "<management-subnet-id>"

A saída da criação do HSM de pagamento será parecida com esta:

Name  Provisioning State SKU                     Location
----  ------------------ ---                     --------
myHSM Succeeded          payShield10K_LMK1_CPS60 East US

Para ver as interfaces de rede recém-criadas, use o cmdlet Get-AzNetworkInterface, fornecendo o grupo de recursos:

Get-AzNetworkInterface -ResourceGroupName myResourceGroup | Format-Table

Na saída, o host 1 e o host 2 são listados, bem como a interface de gerenciamento:

ResourceGroupName Name                     Location ...
----------------- ----                     -------- ---
myResourceGroup   myPaymentHSM_HSMHost1Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMHost2Nic eastus   ...
myResourceGroup   myPaymentHSM_HSMMgmtNic  eastus   ...

O portal do Azure mostra o "método de alocação de IP privado" como "Estático":

Próximas etapas

Avance para o próximo artigo para saber como exibir seu HSM de pagamento.

Visualizar seus HSMs de pagamento

Informações adicionais:

Ler uma visão geral do HSM de pagamento
Saiba como começar a usar o HSM de Pagamento do Azure
Ver alguns cenários comuns de implantação
Saiba mais sobre certificação e conformidade
Leia as perguntas frequentes

Comentários

Esta página foi útil?

Last updated on 2025-10-10

Compartilhar via

Tutorial: Criar um HSM de pagamento com host e porta de gerenciamento em diferentes redes virtuais usando o modelo do ARM

Pré-requisitos

Criar um grupo de recursos

Criar redes virtuais e sub-redes

Criar um HSM de pagamento

Criar com hosts dinâmicos

Criar com hosts estáticos

Próximas etapas

Comentários

Recursos adicionais