View a markdown version of this page

Generieren Sie asymmetrische Schlüssel mithilfe der CloudHSM-CLI - AWS CloudHSM
Generieren Sie einen RSA-Schlüssel

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Generieren Sie asymmetrische Schlüssel mithilfe der CloudHSM-CLI

Verwenden Sie die unter aufgeführten BefehleDie Kategorie „Asymmetrisches Paar generieren“ in CloudHSM CLI, um asymmetrische Schlüsselpaare für Cluster zu generieren. AWS CloudHSM

Generieren Sie einen RSA-Schlüssel

Verwenden Sie den key generate-asymmetric-pair rsa-Befehl, um ein RSA-Schlüsselpaar zu erzeugen. Verwenden Sie den Befehl help key generate-asymmetric-pair rsa, um alle verfügbaren Optionen anzuzeigen.

Beispiel

Das folgende Beispiel generiert ein 2048-Bit-RSA-Schlüsselpaar.

aws-cloudhsm > key generate-asymmetric-pair rsa \
    --public-exponent 65537 \
    --modulus-size-bits 2048 \
    --public-label rsa-public-example \
    --private-label rsa-private-example

Argumente

<PUBLIC_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den öffentlichen Schlüssel an.

Erforderlich: Ja

<PRIVATE_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den private-key an.

Erforderlich: Ja

<MODULUS_SIZE_BITS>

Gibt die Länge des Moduls in Bits an. Der minimale Wert beträgt 2048.

Erforderlich: Ja

<PUBLIC_EXPONENT>

Gibt den öffentlichen Exponenten an. Bei diesem Wert muss es sich eine ungerade Zahl gleich oder größer als 65537 handeln.

Erforderlich: Ja

<PUBLIC_KEY_ATTRIBUTES>

Gibt eine durch Leerzeichen getrennte Liste von Schlüsselattributen an, die für den generierten öffentlichen RSA-Schlüssel festgelegt werden sollen, in der Form von KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE (z. B. sign=true).

Eine Liste der unterstützten AWS CloudHSM Schlüsselattribute finden Sie unterSchlüsselattribute für CloudHSM-CLI.

Erforderlich: Nein

<SESSION>

Erstellt einen Schlüssel, der nur in der aktuellen Sitzung existiert. Der Schlüssel kann nach Ende der Sitzung nicht wiederhergestellt werden. Verwenden Sie diesen Parameter, wenn Sie einen Schlüssel zum Packen nur für kurze Zeit benötigen, z. B. einen Schlüssel, der einen anderen Schlüssel verschlüsselt und dann schnell entschlüsselt. Verwenden Sie keinen Sitzungsschlüssel, um Daten zu verschlüsseln, die Sie nach dem Ende der Sitzung möglicherweise entschlüsseln müssen.

Um einen Sitzungsschlüssel in einen persistenten (Token-)Schlüssel zu ändern, verwenden Sie key set-attribute.

Wenn Schlüssel generiert werden, handelt es sich standardmäßig um persistent/token Schlüssel. Die Verwendung <SESSION>ändert dies und stellt sicher, dass es sich bei einem mit diesem Argument generierten Schlüssel um einen session/ephemeral

Erforderlich: Nein

Generieren von ECC- (Elliptic Curve Cryptography-)Schlüsselpaaren

Verwenden Sie den key generate-asymmetric-pair ec-Befehl, um ein EC-Schlüsselpaar zu generieren. Wenn Sie alle verfügbaren Optionen, einschließlich einer Liste der unterstützten Ellipsenkurven anzeigen möchten, verwenden Sie den Befehl help key generate-asymmetric-pair ec.

Beispiel

Das folgende Beispiel erzeugt ein EC-Schlüsselpaar unter Verwendung der elliptischen Kurve Secp384r1.

aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp384r1 \
    --public-label ec-public-example \
    --private-label ec-private-example

Argumente

<PUBLIC_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den öffentlichen Schlüssel an. Die maximal zulässige Größe für Client SDK 5.11 und höher label beträgt 127 Zeichen. Das Client-SDK 5.10 und frühere Versionen haben ein Limit von 126 Zeichen.

Erforderlich: Ja

<PRIVATE_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den private-key an. Die maximal zulässige Größe für das Client-SDK 5.11 und höher label beträgt 127 Zeichen. Das Client-SDK 5.10 und frühere Versionen haben ein Limit von 126 Zeichen.

Erforderlich: Ja

<CURVE>

Gibt die ID für die elliptische Kurve an.

Zulässige Werte:

  • prime256v1

  • secp256r1

  • secp224r1

  • secp384r1

  • secp256k1

  • secp521r1

  • ed25519 (wird nur auf hsm2m.medium-Instances im Nicht-FIPS-Modus unterstützt)

Erforderlich: Ja

<PUBLIC_KEY_ATTRIBUTES>

Gibt eine durch Leerzeichen getrennte Liste von Schlüsselattributen an, die für den generierten öffentlichen EC-Schlüssel festgelegt werden sollen, in der Form von KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE (z. B. verify=true).

Eine Liste der unterstützten Schlüsselattribute finden Sie unter. AWS CloudHSM Schlüsselattribute für CloudHSM-CLI

Erforderlich: Nein

<PRIVATE_KEY_ATTRIBUTES>

Gibt eine durch Leerzeichen getrennte Liste von Schlüsselattributen an, die für den generierten privaten EC-Schlüssel festgelegt werden sollen, in der Form von KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE (z. B. sign=true).

Eine Liste der unterstützten AWS CloudHSM Schlüsselattribute finden Sie unterSchlüsselattribute für CloudHSM-CLI.

Erforderlich: Nein

<SESSION>

Erstellt einen Schlüssel, der nur in der aktuellen Sitzung existiert. Der Schlüssel kann nach Ende der Sitzung nicht wiederhergestellt werden. Verwenden Sie diesen Parameter, wenn Sie einen Schlüssel zum Packen nur für kurze Zeit benötigen, z. B. einen Schlüssel, der einen anderen Schlüssel verschlüsselt und dann schnell entschlüsselt. Verwenden Sie keinen Sitzungsschlüssel, um Daten zu verschlüsseln, die Sie nach dem Ende der Sitzung möglicherweise entschlüsseln müssen.

Um einen Sitzungsschlüssel in einen persistenten (Token-)Schlüssel zu ändern, verwenden Sie key set-attribute.

Standardmäßig handelt es sich bei den generierten Schlüsseln um persistente (Token-)Schlüssel. Das Übergeben von <SESSION> ändert dies und stellt sicher, dass es sich bei einem mit diesem Argument generierten Schlüssel um einen (kurzlebigen) Sitzungsschlüssel handelt.

Erforderlich: Nein

Generieren Sie ML-DSA Schlüsselpaare

Verwenden Sie den key generate-asymmetric-pair ml-dsa Befehl, um ein ML-DSA Schlüsselpaar zu generieren. Verwenden Sie den Befehl help key generate-asymmetric-pair ml-dsa, um alle verfügbaren Optionen anzuzeigen.

Beispiel

Im folgenden Beispiel wird mithilfe des ML-DSA-44 Algorithmus ein ML-DSA Schlüsselpaar generiert.

aws-cloudhsm > key generate-asymmetric-pair ml-dsa \
    --mldsa-algorithm ML-DSA-44 \
    --public-label ml-dsa-public-example \
    --private-label ml-dsa-private-example

Argumente

<PUBLIC_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den öffentlichen Schlüssel an.

Erforderlich: Ja

<PRIVATE_LABEL>

Gibt eine benutzerdefinierte Bezeichnung für den private-key an.

Erforderlich: Ja

<MLDSA_ALGORITHM>

Gibt den ML-DSA Algorithmus an.

Zulässige Werte:

  • ML-DSA-44

  • ML-DSA-65

  • ML-DSA-87

Erforderlich: Ja