Schnellstart: Bereitstellen und Aktivieren eines verwalteten HSM mithilfe der Azure-Befehlszeilenschnittstelle

In dieser Schnellstartanleitung erstellen und aktivieren Sie ein azure Key Vault Managed HSM (Hardware Security Module) mithilfe der Azure CLI. Verwaltetes HSM ist ein vollständig verwalteter, hochverwendiger, einzelinstanzenfähiger, standardkonformer Clouddienst, mit dem Sie kryptografische Schlüssel für Ihre Cloudanwendungen schützen können, wobei FIPS 140-3 Level 3 validierte HSMs verwendet werden. Weitere Informationen zu verwaltetem HSM erfahren Sie in der Übersicht.

Voraussetzungen

Sie benötigen ein Azure-Abonnement. Sollten Sie keines besitzen, können Sie einkostenloses Konto erstellen.

Außerdem benötigen Sie:

• Azure CLI, Version 2.25.0 oder höher. Führen Sie az --version aus, um die Version zu ermitteln. Installations- und Upgradeinformationen finden Sie bei Bedarf unter Installieren von Azure CLI.

Azure Cloud Shell

Azure hostet Azure Cloud Shell, eine interaktive Shell-Umgebung, die Sie über Ihren Browser nutzen können. Sie können entweder Bash oder PowerShell mit Cloud Shell verwenden, um mit Azure-Diensten zu arbeiten. Sie können die vorinstallierten Befehle von Cloud Shell verwenden, um den Code in diesem Artikel auszuführen, ohne etwas in Ihrer lokalen Umgebung installieren zu müssen.

Starten von Azure Cloud Shell:

Option	Beispiel/Link
Wählen Sie rechts oben in einem Code- oder Befehlsblock die Option Ausprobieren aus. Durch die Auswahl von Ausprobieren wird der Code oder Befehl nicht automatisch in Cloud Shell kopiert.
Rufen Sie https://shell.azure.com auf, oder klicken Sie auf die Schaltfläche Cloud Shell starten, um Cloud Shell im Browser zu öffnen.
Wählen Sie im Azure-Portal rechts oben im Menü die Schaltfläche Cloud Shell aus.

So verwenden Sie Azure Cloud Shell:

1. Starten Sie Cloud Shell.

2. Wählen Sie die Schaltfläche Kopieren für einen Codeblock (oder Befehlsblock) aus, um den Code oder Befehl zu kopieren.

3. Fügen Sie den Code oder Befehl mit STRG+UMSCHALT+V unter Windows und Linux oder CMD+UMSCHALT+V unter macOS in die Cloud Shell-Sitzung ein.

4. Drücken Sie die EINGABETASTE, um den Code oder Befehl auszuführen.

Anmelden bei Azure

Um sich mit der CLI bei Azure anzumelden, geben Sie Folgendes ein:

az login

Erstellen einer Ressourcengruppe

Eine Ressourcengruppe ist ein logischer Container, in dem Sie Azure-Ressourcen bereitstellen und verwalten. Im folgenden Beispiel wird eine Ressourcengruppe mit dem Namen <resource-group> am Standort <location> erstellt.

az group create --name "<resource-group>" --location <location>

Erstellen eines verwalteten HSM

Die Erstellung einer Ressource vom Typ „Verwaltetes HSM“ umfasst zwei Schritte:

1. Bereitstellen einer verwalteten HSM-Ressource
2. Aktivieren des verwalteten HSM durch Herunterladen eines Artefakts, das als Sicherheitsdomäne bezeichnet wird.

Bereitstellen eines verwalteten HSM

Verwenden Sie den Befehl az keyvault create, um ein verwaltetes HSM zu erstellen. Dieses Skript enthält drei erforderliche Parameter: einen Ressourcengruppennamen, einen HSM-Namen und den geografischen Standort.

Um eine verwaltete HSM-Ressource zu erstellen, geben Sie die folgenden Eingaben an:

• Eine Ressourcengruppe, in der Sie das Managed HSM in Ihrem Abonnement platzieren.
• Ein Azure-Standort.
• Eine Liste mit den anfänglichen Administratoren.

Im folgenden Beispiel wird ein HSM mit dem Namen <hsm-name> in der Ressourcengruppe <resource-group> erstellt, das sich an dem angegebenen Speicherort befindet, mit dem aktuell angemeldeten Benutzer als einzigem Administrator und einer 7-tägigen Aufbewahrungsfrist für das Soft-Delete. Sie zahlen weiterhin für das Managed HSM, bis es in einem Soft Delete Zeitraum gelöscht wird. Weitere Informationen finden Sie unter Vorläufiges Löschen und Löschschutz des verwalteten HSM sowie bei Hinweisen zum vorläufigen Löschen von verwaltetem HSM.

oid=$(az ad signed-in-user show --query id -o tsv)
az keyvault create --hsm-name "<hsm-name>" --resource-group "<resource-group>" --location "<location>" --administrators $oid --retention-days 7

Die Ausgabe dieses Befehls zeigt Die Eigenschaften des verwalteten HSM an, das Sie erstellt haben. Die zwei wichtigsten Eigenschaften sind diese:

• name: Der von Ihnen angegebene Name. Sie verwenden diesen Namen für andere Befehle.
• hsmUri: Der URI für Ihr HSM (z. B. https://<hsm-name>.managedhsm.azure.net). Von Anwendungen, die Ihr HSM über die zugehörige REST-API nutzen, muss dieser URI verwendet werden.

Ihr Azure-Konto verfügt nun über die Berechtigung zum Durchführen von Vorgängen für dieses verwaltete HSM. Derzeit ist noch keine andere Person autorisiert.

Aktivieren Ihres verwalteten HSM

Alle Datenebenenbefehle werden deaktiviert, bis Sie das HSM aktivieren. Sie können z. B. keine Schlüssel erstellen oder Rollen zuweisen. Nur die vorgesehenen Administratoren, die Sie während des Erstellungsbefehls zuweisen, können das HSM aktivieren. Zum Aktivieren des HSM muss die Sicherheitsdomäne heruntergeladen werden.

Um Ihr HSM zu aktivieren, benötigen Sie Folgendes:

• Mindestens drei RSA-Schlüsselpaare (maximal 10)
• Die Mindestanzahl der Schlüssel, die zum Entschlüsseln der Sicherheitsdomäne erforderlich sind (als Quorum bezeichnet)

Sie senden mindestens drei (maximal 10) RSA-öffentliche Schlüssel an das HSM. Das HSM verschlüsselt die Sicherheitsdomäne mit diesen Schlüsseln und sendet sie zurück. Sobald der Download der Sicherheitsdomäne erfolgreich abgeschlossen ist, ist Ihr HSM einsatzbereit. Sie müssen auch das Quorum angeben, bei dem es sich um die Mindestanzahl privater Schlüssel handelt, die zum Entschlüsseln der Sicherheitsdomäne erforderlich sind.

Das folgende Beispiel zeigt, wie Sie mit openssl drei selbstsignierte Zertifikate generieren können:

openssl req -newkey rsa:2048 -nodes -keyout cert_0.key -x509 -days 365 -out cert_0.cer
openssl req -newkey rsa:2048 -nodes -keyout cert_1.key -x509 -days 365 -out cert_1.cer
openssl req -newkey rsa:2048 -nodes -keyout cert_2.key -x509 -days 365 -out cert_2.cer

Das Ablaufdatum des Zertifikats wirkt sich nicht auf Sicherheitsdomänenvorgänge aus– selbst ein "abgelaufenes" Zertifikat kann weiterhin verwendet werden, um die Sicherheitsdomäne wiederherzustellen.

Verwenden Sie den Befehl az keyvault security-domain download, um die Sicherheitsdomäne herunterzuladen und Ihr verwaltetes HSM zu aktivieren. Im folgenden Beispiel werden drei RSA-Schlüsselpaare verwendet. (Für diesen Befehl werden nur öffentliche Schlüssel benötigt.) Das Quorum wird auf „2“ festgelegt:

az keyvault security-domain download --hsm-name <hsm-name> --sd-wrapping-keys ./certs/cert_0.cer ./certs/cert_1.cer ./certs/cert_2.cer --sd-quorum 2 --security-domain-file <hsm-name>-SD.json

Speichern Sie die Sicherheitsdomänendatei und die RSA-Schlüsselpaare sicher. Sie benötigen sie für die Notfallwiederherstellung oder zum Erstellen eines anderen verwalteten HSM, das dieselbe Sicherheitsdomäne verwendet, damit die beiden Schlüssel gemeinsam nutzen können.

Nach erfolgreichem Herunterladen der Sicherheitsdomäne befindet sich Ihr HSM im aktiven Zustand und ist verwendungsbereit.

Bereinigen von Ressourcen

Andere Schnellstartanleitungen und Tutorials in dieser Sammlung bauen auf dieser Schnellstartanleitung auf. Falls Sie mit weiteren Schnellstartanleitungen und Tutorials fortfahren möchten, sollten Sie die Ressourcen nicht bereinigen.

Wenn Sie die Ressourcen nicht mehr benötigen, führen Sie den Befehl az group delete aus, um die Ressourcengruppe und alle dazugehörigen Ressourcen zu löschen. Die Ressourcen können wie folgt gelöscht werden:

az group delete --name <resource-group>

Nächste Schritte

In dieser Schnellstartanleitung haben Sie ein verwaltetes HSM bereitgestellt und aktiviert. Weitere Informationen zum verwalteten HSM und zur Integration in Ihre Anwendungen finden Sie in den folgenden Artikeln.

• Verschaffen Sie sich einen Überblick über verwaltetes HSM.
• Erfahren Sie mehr über das Verwalten von Schlüsseln in einem verwalteten HSM.
• Erfahren Sie mehr über die Rollenverwaltung für ein verwaltetes HSM.
• Überprüfen Sie die Sicherheit Ihrer Azure Managed HSM-Bereitstellung