Tutoriel : Créer un HSM de paiement

  • Article

HSM de paiement Azure est un service « nu » fourni en utilisant des modules de sécurité matériels (HSM) de paiement Thales payShield 10K et qui permet d’effectuer des opérations de clé de chiffrement pour les transactions de paiement critiques en temps réel dans le cloud Azure. Le service HSM de paiement Azure est spécifiquement conçu pour aider les fournisseurs de services et les établissements financiers à accélérer la stratégie de transformation numérique de leur système de paiement ainsi qu’à adopter le cloud public. Pour plus d’informations, consultez À propos de HSM de paiement Azure : Vue d’ensemble.

Ce tutoriel explique de quelle manière créer un HSM de paiement Azure avec des ports hôte et de gestion dans le même réseau virtuel. Vous pouvez à la place :

Notes

Si vous souhaitez réutiliser un réseau virtuel existant, vérifiez que vous tous les prérequis sont satisfaits, puis lisez le Guide pratique pour réutiliser un réseau virtuel existant.

Prérequis

Important

HSM de paiement Azure est un service spécialisé. Pour pouvoir intégrer et utiliser HSM de paiement Azure, les clients doivent se voir attribuer un responsable de compte Microsoft et avoir un architecte de services cloud (CSA).

Pour vous renseigner sur le service, démarrer le processus de qualification et préparer les prérequis avant l’intégration, demandez à votre responsable de compte Microsoft et à CSA d’envoyer une demande par e-mail.

  • Vous devez inscrire les fournisseurs de ressources « Microsoft.HardwareSecurityModules » et « Microsoft.Network » ainsi que les fonctionnalités du HSM de paiement Azure. Pour ce faire, consultez Inscrire les fonctionnalités du fournisseur de ressources et du fournisseur de ressources du HSM de paiement Azure.

    Avertissement

    Vous devez appliquer l’indicateur de fonctionnalité « FastPathEnabled » à chaque ID d’abonnement et ajouter l’indicateur « fastpathenabled » à chaque réseau virtuel. Pour plus d’informations, consultez Fastpathenabled.

    Pour déterminer rapidement si les fournisseurs de ressources et les fonctionnalités sont déjà inscrits, utilisez la commande Azure CLI az provider show. (La sortie de cette commande est plus lisible si vous l’affichez dans le format tableau.)

    az provider show --namespace "Microsoft.HardwareSecurityModules" -o table

az provider show --namespace "Microsoft.Network" -o table

az feature registration show -n "FastPathEnabled"  --provider-namespace "Microsoft.Network" -o table

az feature registration show -n "AzureDedicatedHsm"  --provider-namespace "Microsoft.HardwareSecurityModules" -o table

    Vous pouvez continuer dans ce guide de démarrage rapide si ces quatre commandes retournent « Inscrit ».

  • Vous devez avoir un abonnement Azure. Vous pouvez créer un compte gratuit si vous n’en avez pas.

Créer un groupe de ressources

Un groupe de ressources est un conteneur logique dans lequel les ressources Azure sont déployées et gérées. Utilisez la commande az group create pour créer un groupe de ressources nommé myResourceGroup à l’emplacement eastus.

az group create --name "myResourceGroup" --location "EastUS"

Créer un réseau virtuel et un sous-réseau

Avant de créer un HSM de paiement, vous devez d’abord créer un réseau virtuel et un sous-réseau. Pour ce faire, utilisez la commande Azure CLI az network vnet create :

az network vnet create -g "myResourceGroup" -n "myVNet" --address-prefixes "10.0.0.0/16" --tags "fastpathenabled=True" --subnet-name "myPHSMSubnet" --subnet-prefix "10.0.0.0/24"

Ensuite, utilisez la commande Azure CLI az network vnet subnet update pour mettre à jour le sous-réseau et lui donner une délégation de « Microsoft.HardwareSecurityModules/dedicatedHSMs » :

az network vnet subnet update -g "myResourceGroup" --vnet-name "myVNet" -n "myPHSMSubnet" --delegations "Microsoft.HardwareSecurityModules/dedicatedHSMs"

Pour vérifier que le réseau virtuel et le sous-réseau ont été créés correctement, utilisez la commande Azure CLI az network vnet subnet show :

az network vnet subnet show -g "myResourceGroup" --vnet-name "myVNet" -n myPHSMSubnet

Notez l’ID du sous-réseau, nécessaire pour l’étape suivante. L’ID du sous-réseau se termine par le nom du sous-réseau :

"id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVNet/subnets/myPHSMSubnet",

Créer un HSM de paiement

Important

Si vous créez deux modules HSM de paiement dans la même région, vous devez en allouer un à « stamp1 » et l’autre à « stamp2 ». Pour plus d’informations, consultez Scénarios de déploiement : déploiement à haute disponibilité.

Créer avec des hôtes dynamiques

Pour créer un HSM de paiement avec des hôtes dynamiques, utilisez la commande az dedicated-hsm create. L’exemple suivant crée un HSM de paiement nommé myPaymentHSM dans la région eastus, le groupe de ressources myResourceGroup ainsi que l’abonnement, le réseau virtuel et le sous-réseau spécifiés :

az dedicated-hsm create \
   --resource-group "myResourceGroup" \
   --name "myPaymentHSM" \
   --location "EastUS" \
   --subnet id="<subnet-id>" \
   --stamp-id "stamp1" \
   --sku "payShield10K_LMK1_CPS60"

Pour afficher les interfaces réseau nouvellement créées, utilisez la commande az network nic list, en fournissant le groupe de ressources :

az network nic list -g myResourceGroup -o table

Dans la sortie, l’hôte 1 et l’hôte 2 sont répertoriés, ainsi qu’une interface de gestion :

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Pour afficher les détails d’une interface réseau nouvellement créée, utilisez la commande Az network nic show, en fournissant le groupe de ressources et le nom de l’interface réseau :

az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

La sortie contient cette ligne :

  "privateIPAllocationMethod": "Dynamic",

Créer avec des hôtes statiques

Pour créer un HSM de paiement avec des hôtes statiques, utilisez la commande az dedicated-hsm create. L’exemple suivant crée un HSM de paiement nommé myPaymentHSM dans la région eastus, le groupe de ressources myResourceGroup ainsi que l’abonnement, le réseau virtuel et le sous-réseau spécifiés :

az dedicated-hsm create \
  --resource-group "myResourceGroup" \
  --name "myPaymentHSM" \
  --location "EastUS" \
  --subnet id="<subnet-id>" \
  --stamp-id "stamp1" \
  --sku "payShield10K_LMK1_CPS60" \
  --network-interfaces private-ip-address='("10.0.0.5", "10.0.0.6")

Si vous souhaitez également spécifier une adresse IP statique pour l’hôte de gestion, vous pouvez ajouter :

  --mgmt-network-interfaces private-ip-address="10.0.0.7" \
  --mgmt-network-subnet="<subnet-id>"

Pour afficher les interfaces réseau nouvellement créées, utilisez la commande az network nic list, en fournissant le groupe de ressources :

az network nic list -g myResourceGroup -o table

Dans la sortie, l’hôte 1 et l’hôte 2 sont répertoriés, ainsi que l’interface de gestion :

...  Name                      NicType    Primary    ProvisioningState    ResourceGroup    ...
---  ------------------------  ---------  ---------  -------------------  ---------------  ---
...  myPaymentHSM_HSMHost1Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMHost2Nic  Standard   True       Succeeded            myResourceGroup  ...
...  myPaymentHSM_HSMMgmtNic   Standard   True       Succeeded            myResourceGroup  ...

Pour afficher les propriétés d’une interface de réseau, utilisez la commande az network nic show, en fournissant le groupe de ressources et le nom de l’interface réseau :

 az network nic show -g myresourcegroup -n myPaymentHSM_HSMHost1Nic

La sortie contient cette ligne :

  "privateIPAllocationMethod": "Static",

Étapes suivantes

Passez à l’article suivant pour découvrir comment afficher un HSM de paiement.

Affichez vos HSM de paiement

Informations complémentaires :