Come distribuire una Macchina Virtuale con HSM Integrato di Azure

Si applica a: ✔️ macchine virtuali di Windows

Azure HSM integrato è una cache HSM (Hardware Security Module) e un acceleratore di crittografia progettato per migliorare la sicurezza e le prestazioni delle operazioni di crittografia in una macchina virtuale. Per i clienti che si affidano principalmente alla crittografia e hanno carichi di lavoro a elevato utilizzo delle prestazioni, Azure modulo di protezione hardware integrato offre un modo sicuro per archiviare le chiavi crittografiche per il recupero rapido e sicuro.

Annotazioni

Per consentire a una macchina virtuale di usare l'HSM integrato di Azure, includere un tag platformsettings.host_environment.AzureIntegratedHSM=Trueal momento della distribuzione. L'aggiunta del tag alla macchina virtuale dopo la distribuzione comporterà il mancato utilizzo della macchina virtuale con l'Azzure Integrated HSM.

1. Registrarsi nel flag HSM integrato di Azure per la propria sottoscrizione

  1. Accedi al portale di Azure.
  2. Passare alla sottoscrizione.
  3. Nel menu a sinistra selezionare Impostazioni.
  4. In Impostazioni selezionare funzionalità di anteprima.
  5. Cercare HSM integrato di Azure e selezionarlo.
  6. Selezionare Registra nella parte inferiore della pagina.
  7. Attendere il completamento del processo di registrazione e ricevere la notifica di esito positivo.

È ora possibile creare macchine virtuali Azure abilitate per HSM integrato con la sottoscrizione.

2. Creare un gruppo di risorse

Creare un gruppo di risorse con il comando az group create. Un gruppo di risorse di Azure è un contenitore logico in cui le risorse di Azure vengono distribuite e gestite. Nell'esempio seguente viene creato un gruppo di risorse denominato myResourceGroup nel eastus2 percorso:

Annotazioni

Le macchine virtuali AMD v7 non sono disponibili in tutte le posizioni. Per le località attualmente supportate, vedere quali prodotti di macchine virtuali sono disponibili in base all'area di Azure.

az group create --name myResourceGroup --location eastus2

3. Creare una macchina virtuale per utilizzo generico con Azure funzionalità HSM integrata abilitata

Opzione 1 - interfaccia della riga di comando di Azure

Creare una macchina virtuale con il az vm create comando .

L'esempio seguente crea una macchina virtuale denominata myVM e aggiunge un account utente denominato azureuser. Azure HSM integrato è supportato solo su SKU specifici delle macchine virtuali; per ulteriori informazioni sugli SKU supportati, vedere la documentazione SKU supportati.

Le macchine virtuali devono supportare TrustedLaunch e Avvio protetto per supportare Azure modulo di protezione hardware integrato.

az vm create `
    --resource-group myResourceGroup `
    --name myVM `
    --size Standard_D8as_v7 `
    --admin-username azureuser `
    --admin-password <password> `
    --enable-vtpm true `
    --image "MicrosoftWindowsServer:WindowsServer:2025-datacenter-smalldisk-g2:latest" `
    --public-ip-sku Standard `
    --security-type TrustedLaunch `
    --location eastus2 `
    --enable-secure-boot true `
    --tags platformsettings.host_environment.AzureIntegratedHSM=True

La creazione della macchina virtuale e delle risorse di supporto richiede alcuni minuti. Dopo aver creato l'utente dovrebbe essere in grado di visualizzare il tag applicato nel portale nella sezione tag.

Opzione 2 - Modelli ARM

Creare un gruppo di risorse:

az group create --name $resourceGroup --location $region

Creare una macchina virtuale con il az deployment group create comando . Immettere il nome del gruppo di risorse, il nome della distribuzione e il nome della macchina virtuale. Usare i modelli ARM forniti GitHub per distribuire la macchina virtuale. Assicurarsi di immettere il nome utente e la password da usare nella macchina virtuale.

az deployment group create `
  -g $resourceGroup `
  -n $deployName `
  -f ./template-azihsm-tvm.json `
  -p ./parameters-azihsm-tvm.json `
  -p vmName=$vmName

Opzione 3 - Azure SDK

Esistono molte lingue diverse supportate dal Azure SDK. Ad esempio, si userà l'esempio AziHSM Python SDK per distribuire una macchina virtuale abilitata per AziHSM.

Passare a azure_sdk/python e creare un ambiente virtuale Python e installare il Azure SDK:

python -m venv .venv
.venv/Scripts/activate # only required if deploying from a Windows machine
pip install -r requirements.txt

Eseguire quindi lo script di esempio fornito. Lo script include la documentazione sulle risorse distribuite per distribuire una macchina virtuale:

python ./sample.py

Cosa succederà dopo

  • Installare il driver guest e il provider di servizi chiave nella macchina virtuale abilitata per l'Azure Integrated HSM seguendo le istruzioni riportate su GitHub.
  • Panoramica di Azure Integrated HSM
  • Last updated on