Zuordnen eines AWS CloudHSM Schlüssels zu einem Zertifikat

Bevor Sie AWS CloudHSM Schlüssel mit Tools von Drittanbietern wie denen von Microsoft verwenden können SignTool, müssen Sie die Metadaten des Schlüssels in den lokalen Zertifikatsspeicher importieren und die Metadaten einem Zertifikat zuordnen. Um die Metadaten des Schlüssels zu importieren, verwenden Sie das Dienstprogramm import_key.exe, das in CloudHSM Version 3.0 und höher enthalten ist. Die folgenden Schritte enthalten zusätzliche Informationen und eine Beispielausgabe.

Schritt 1: Importieren Ihres Zertifikats

Unter Windows sollten Sie auf das Zertifikat doppelklicken können, um es in den lokalen Zertifikatspeicher zu importieren.

Wenn ein Doppelklick jedoch nicht funktioniert, verwenden Sie das Microsoft Certreq-Tool, um das Zertifikat in den Zertifikatmanager zu importieren. Zum Beispiel:

certreq -accept certificatename

Wenn diese Aktion fehlschlägt und Sie den Fehler Key not found erhalten, fahren Sie mit Schritt 2 fort. Wenn das Zertifikat in Ihrem Schlüsselspeicher angezeigt wird, haben Sie die Aufgabe abgeschlossen, und es ist keine weitere Aktion erforderlich.

Schritt 2: Erfassen von Zertifikatinformationen

Wenn der vorherige Schritt nicht erfolgreich war, müssen Sie Ihren privaten Schlüssel einem Zertifikat zuordnen. Bevor Sie jedoch die Zuordnung erstellen können, müssen Sie zuerst den eindeutigen Containernamen und die Seriennummer des Zertifikats finden. Verwenden Sie ein Hilfsprogrammcertutil, z. B. um die benötigten Zertifikatsinformationen anzuzeigen. Die folgende Beispielausgabe von certutil zeigt den Namen und die Seriennummer des Containers.

================ Certificate 1 ================ Serial Number:
			72000000047f7f7a9d41851b4e000000000004Issuer: CN=Enterprise-CANotBefore: 10/8/2019 11:50
			AM NotAfter: 11/8/2020 12:00 PMSubject: CN=www.example.com, OU=Certificate Management,
			O=Information Technology, L=Seattle, S=Washington, C=USNon-root CertificateCert
			Hash(sha1): 7f d8 5c 00 27 bf 37 74 3d 71 5b 54 4e c0 94 20 45 75 bc 65No key provider
			information Simple container name: CertReq-39c04db0-6aa9-4310-93db-db0d9669f42c Unique
			container name: CertReq-39c04db0-6aa9-4310-93db-db0d9669f42c 

Schritt 3: Verknüpfen Sie den AWS CloudHSM privaten Schlüssel mit dem Zertifikat

Um den Schlüssel mit dem Zertifikat zu verknüpfen, müssen Sie zunächst den AWS CloudHSM Client-Daemon starten. Verwenden Sie dann import_key.exe (in CloudHSM Version 3.0 und höher enthalten), um den privaten Schlüssel dem Zertifikat zuzuordnen. Wenn Sie das Zertifikat angeben, verwenden Sie seinen einfachen Containernamen. Das folgende Beispiel zeigt den Befehl und die Antwort. Diese Aktion kopiert nur die Metadaten des Schlüssels; der Schlüssel verbleibt auf dem HSM.

$> import_key.exe –RSA CertReq-39c04db0-6aa9-4310-93db-db0d9669f42c

Successfully opened Microsoft Software Key Storage Provider : 0NCryptOpenKey failed : 80090016

Schritt 4: Aktualisieren des Zertifikatspeichers

Stellen Sie sicher, dass der AWS CloudHSM Client-Daemon noch läuft. Verwenden Sie dann das certutil Verb,-repairstore, um die Seriennummer des Zertifikats zu aktualisieren. Das folgende Beispiel zeigt den Befehl und die Ausgabe. Informationen zu dem -repairstoreVerb finden Sie in der Microsoft-Dokumentation.

C:\Program Files\Amazon\CloudHSM>certutil -f -csp "Cavium Key Storage Provider"-repairstore my "72000000047f7f7a9d41851b4e000000000004"
my "Personal"
================ Certificate 1 ================
Serial Number: 72000000047f7f7a9d41851b4e000000000004
Issuer: CN=Enterprise-CA
NotBefore: 10/8/2019 11:50 AM
NotAfter: 11/8/2020 12:00 PM
Subject: CN=www.example.com, OU=Certificate Management, O=Information Technology, L=Seattle, S=Washington, C=US
Non-root CertificateCert Hash(sha1): 7f d8 5c 00 27 bf 37 74 3d 71 5b 54 4e c0 94 20 45 75 bc 65       
SDK Version: 3.0 
Key Container = CertReq-39c04db0-6aa9-4310-93db-db0d9669f42c 
Provider = "Cavium Key Storage Provider"
Private key is NOT exportableEncryption test passedCertUtil: -repairstore command completed successfully.
		

Nachdem Sie die Seriennummer des Zertifikats aktualisiert haben, können Sie dieses Zertifikat und den entsprechenden AWS CloudHSM privaten Schlüssel mit jedem Signaturtool eines Drittanbieters unter Windows verwenden.