Partager via

快速入门：使用 PowerShell 预配和激活托管 HSM

在本快速入门中，将使用 PowerShell 创建并激活 Azure Key Vault 托管 HSM（硬件安全模块）。 托管 HSM 是一种完全托管、高度可用、符合标准的单租户云服务，可用于使用 FIPS 140-3 级别 3 验证的 HSM 来保护云应用程序的加密密钥。 若要详细了解托管 HSM，可参阅概述。

如果选择在本地安装并使用 PowerShell，则本教程需要 Azure PowerShell 模块 1.0.0 或更高版本。 键入 $PSVersionTable.PSVersion 即可查找版本。 如果需要进行升级，请参阅 Install Azure PowerShell module（安装 Azure PowerShell 模块）。 如果在本地运行 PowerShell，则还需运行 Connect-AzAccount -Environment AzureChinaCloud 来创建与 Azure 的连接。

Connect-AzAccount -Environment AzureChinaCloud

创建资源组

资源组是在其中部署和管理 Azure 资源的逻辑容器。 使用 Azure PowerShell New-AzResourceGroup cmdlet 在 chinaeast2 位置创建名为 myResourceGroup 的资源组。

New-AzResourceGroup -Name "myResourceGroup" -Location "chinaeast2"

获取主体 ID

要创建托管 HSM，需要您的 Microsoft Entra 主体 ID。 若要获取 ID，请使用 Azure PowerShell Get-AzADUser cmdlet，将电子邮件地址传递给“UserPrincipalName”参数：

Get-AzADUser -UserPrincipalName "<your@email.address>"

您的主体 ID 将以“xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”格式返回。

创建托管 HSM

创建托管 HSM 的过程分为两步：

  1. 配置托管 HSM 资源。
  2. 通过下载名为安全域的工件来激活托管 HSM。

配置托管 HSM

使用 Azure PowerShell New-AzKeyVaultManagedHsm cmdlet 创建一个新的托管 HSM。 你需要提供某些信息：

  • 托管 HSM 名称：由 3 到 24 个字符构成的字符串，只能包含数字 (0-9)、字母（a-z、A-Z）和连字符 (-)

    重要

    每个托管 HSM 都必须有唯一名称。 在以下示例中，将 <your-unique-managed-hsm-name> 替换为托管 HSM 的名称。

  • 资源组名称：myResourceGroup。

  • 位置：中国东部2。

  • 你的主体 ID：请将你在上一部分获得的 Microsoft Entra 主体 ID 传递到“Administrator”参数。

New-AzKeyVaultManagedHsm -Name "your-unique-managed-hsm-name" -ResourceGroupName "myResourceGroup" -Location "chinaeast2" -Administrator "your-principal-ID" -SoftDeleteRetentionInDays "# of days to retain the managed hsm after softdelete"

注意

运行 create 命令可能需要几分钟的时间。 它成功返回后，便可激活 HSM。

此 cmdlet 的输出会显示新创建的托管 HSM 的属性。 记下以下两个属性：

  • 名称：您提供的托管 HSM 名称。
  • HsmUri：在此示例中，这是 https://<your-unique-managed-hsm-name>.managedhsm.chinacloudapi.cn/。 通过其 REST API 使用保管库的应用程序必须使用此 URI。

目前，只有你的 Azure 帐户才有权对这个新 HSM 执行任何操作。

激活托管 HSM

在激活 HSM 之前，所有数据平面命令都处于禁用状态。 你将无法创建密钥或分配角色。 只有在 create 命令期间分配的指定管理员才能激活 HSM。 必须下载安全域才能激活 HSM。

您若要激活 HSM，您需要：

  • 至少三个 RSA 密钥对（最大 10 个）
  • 解密安全域所需的最小密钥数（称为 法定数量）

至少向 HSM 发送 3 个 （最大 10） RSA 公钥。 HSM 利用这些密钥对安全域进行加密，并将其发回。 安全域下载成功完成后，HSM 即可使用。 您还需要指定法定人数，这是解密安全域所需的最小私钥数。

以下示例演示如何用于 openssl 生成三个自签名证书：

openssl req -newkey rsa:2048 -nodes -keyout cert_0.key -x509 -days 365 -out cert_0.cer
openssl req -newkey rsa:2048 -nodes -keyout cert_1.key -x509 -days 365 -out cert_1.cer
openssl req -newkey rsa:2048 -nodes -keyout cert_2.key -x509 -days 365 -out cert_2.cer

证书过期日期不会影响安全域操作，甚至“已过期”证书仍可用于还原安全域。

重要

这些 RSA 私钥是您托管 HSM 的信任根。 对于生产环境，请使用空封系统或本地 HSM 生成这些密钥，并安全地存储这些密钥。 有关详细指南，请参阅 安全域最佳做法 。

若要激活 HSM，请向 HSM 发送至少 3 个（最多 10 个）RSA 公钥。 HSM 利用这些密钥对安全域进行加密，并将其发回。 一旦成功完成此安全域下载，HSM 便可使用。 您还需要指定法定人数，即解密安全域所需的最小私钥数量。

下面的示例演示如何使用 openssl（适用于 Windows，详见此文）生成 3 个自签名证书。

使用 Azure PowerShell Export-AzKeyVaultSecurityDomain cmdlet 下载安全域并激活托管 HSM。 下面的示例使用 3 个 RSA 密钥对组（此命令只需要公钥），并将仲裁数设置为 2。

Export-AzKeyVaultSecurityDomain -Name "<your-unique-managed-hsm-name>" -Certificates "cert_0.cer", "cert_1.cer", "cert_2.cer" -OutputPath "MHSMsd.ps.json" -Quorum 2

请安全地存储安全域文件和 RSA 密钥对。 你需要它们进行灾难恢复，还需要用它们再创建一个共享同一安全域的托管 HSM，这样二者才可共享密钥。

成功下载安全域后，HSM 将处于活动状态并可供使用。

清理资源

本系列中的其他快速入门和教程是在本快速入门的基础上制作的。 如果打算继续使用其他快速入门和教程，则可能需要保留这些资源。

如果不再需要资源组及所有相关资源，可使用 Azure PowerShell Remove-AzResourceGroup cmdlet 将其删除。

Remove-AzResourceGroup -Name "myResourceGroup"

警告

删除资源组会将托管 HSM 置于软删除状态。 托管 HSM 将继续计费，直到被清除。 请参阅托管 HSM 软删除和清除保护

后续步骤

在本快速入门中，你创建并激活了托管 HSM。 若要详细了解托管 HSM 以及如何将其与应用程序集成，请继续阅读以下文章：

  • Last updated on