Schlüssel für Benutzer mit aktiviertem MFA rotieren - AWS CloudHSM

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Schlüssel für Benutzer mit aktiviertem MFA rotieren

Gehen Sie wie folgt vor, um Schlüssel für Benutzer mit aktiviertem MFA zu rotieren.

  1. Verwenden Sie die CloudHSM-CLI, um sich als beliebiger Administrator oder als der spezifische Benutzer, für den MFA aktiviert ist, am HSM anzumelden (weitere Informationen finden Sie unter Benutzer mit aktiviertem MFA anmelden).

  2. Führen Sie als Nächstes den Befehl aus, um Ihre MFA-Strategie zu ändern. Sie müssen den Parameter --token angeben. Dieser Parameter gibt eine Datei an, in die unsignierte Token geschrieben werden.

    aws-cloudhsm > user change-mfa token-sign --token unsigned-tokens.json --username <USERNAME> --role crypto-user --change-quorum
Enter password:
Confirm password:

  3. Identifizieren Sie die Datei mit unsignierten Token, die signiert werden müssen: unsigned-tokens.json. Die Anzahl der Token in dieser Datei hängt von der Anzahl der HSMs in Ihrem Cluster ab. Jedes Token steht für ein HSM. Diese Datei ist im JSON-Format und enthält Token, die signiert werden müssen, um nachzuweisen, dass Sie über einen privaten Schlüssel verfügen. Dies ist der neue private Schlüssel aus dem neuen öffentlichen/privaten RSA-Schlüsselpaar, das Sie für die Rotation des aktuell registrierten öffentlichen Schlüssels verwenden möchten.

    $cat unsigned-tokens.json
{
  "version": "2.0",
  "tokens": [
    {
      "unsigned": "Vtf/9QOFY45v/E1osvpEMr59JsnP/hLDm4ItOO2vqL8=",
      "signed": ""
    },
    {
      "unsigned": "wVbC0/5IKwjyZK2NBpdFLyI7BiayZ24YcdUdlcxLwZ4=",
      "signed": ""
    },
    {
      "unsigned": "z6aW9RzErJBL5KqFG5h8lhTVt9oLbxppjod0Ebysydw=",
      "signed": ""
    }
  ]
}

  4. Signieren Sie diese Token mit dem privaten Schlüssel, den Sie zuvor bei der Einrichtung erstellt haben. Zuerst müssen wir die Base64-codierten Token extrahieren und dekodieren.

    
$ echo "Vtf/9QOFY45v/E1osvpEMr59JsnP/hLDm4ItOO2vqL8=" > token1.b64
$ echo "wVbC0/5IKwjyZK2NBpdFLyI7BiayZ24YcdUdlcxLwZ4=" > token2.b64
$ echo "z6aW9RzErJBL5KqFG5h8lhTVt9oLbxppjod0Ebysydw=" > token3.b64
$ base64 -d token1.b64 > token1.bin
$ base64 -d token2.b64 > token2.bin
$ base64 -d token3.b64 > token3.bin

  5. Sie haben jetzt binäre Token. Signieren Sie sie mit dem privaten RSA-Schlüssel, den Sie zuvor bei der Installation erstellt haben.

    
$ openssl pkeyutl -sign \
      -inkey officer1.key \
      -pkeyopt digest:sha256 \
      -keyform PEM \
      -in token1.bin \
      -out token1.sig.bin
$ openssl pkeyutl -sign \
      -inkey officer1.key \
      -pkeyopt digest:sha256 \
      -keyform PEM \
      -in token2.bin \
      -out token2.sig.bin
$ openssl pkeyutl -sign \
      -inkey officer1.key \
      -pkeyopt digest:sha256 \
      -keyform PEM \
      -in token3.bin \
      -out token3.sig.bin

  6. Sie haben jetzt binäre Signaturen der Token. Kodieren Sie sie mit Base64 und platzieren Sie sie wieder in Ihrer Tokendatei.

    
$ base64 -w0 token1.sig.bin > token1.sig.b64
$ base64 -w0 token2.sig.bin > token2.sig.b64 
$ base64 -w0 token3.sig.bin > token3.sig.b64

  7. Kopieren Sie schließlich die base64-Werte und fügen Sie sie wieder in Ihre Token-Datei ein:

    {
  "version": "2.0",
  "tokens": [
    {
      "unsigned": "1jqwxb9bJOUUQLiNb7mxXS1uBJsEXh0B9nj05BqnPsE=",
      "signed": "eiw3fZeCKIY50C4zPeg9Rt90M1Qlq3WlJh6Yw7xXm4nF6e9ETLE39+9M+rUqDWMRZjaBfaMbg5d9yDkz5p13U7ch2tlF9LoYabsWutkT014KRq/rcYMvFsU9n/Ey/TK0PVaxLN42X+pebV4juwMhN4mK4CzdFAJgM+UGBOj4yB9recpOBB9K8QFSpJZALSEdDgUc/mS1eDq3rU0int6+4NKuLQjpR+LSEIWRZ6g6+MND2vXGskxHjadCQ09L7Tz8VcWjKDbxJcBiGKvkqyozl9zrGo8fA3WHBmwiAgS61Merx77ZGY4PFR37+j/YMSC14prCN15DtMRv2xA1SGSb4w=="
    },
    {
      "unsigned": "LMMFc34ASPnvNPFzBbMbr9FProS/Zu2P8zF/xzk5hVQ=",
      "signed": "HBImKnHmw+6R2TpFEpfiAg4+hu2pFNwn43ClhKPkn2higbEhUD0JVi+4MerSyvU/NN79iWVxDvJ9Ito+jpiRQjTfTGEoIteyuAr1v/Bzh+HjmrO53OQpZaJ/VXGIgApD0myuu/ZGNKQTCSkkL7+V81FG7yR1Nm22jUeGa735zvm/E+cenvZdy0VVx6A7WeWrl3JEKKBweHbi+7BwbaW+PTdCuIRd4Ug76Sy+cFhsvcG1k7cMwDh8MgXzIZ2m1f/hdy2j8qAxORTLlmwyUOYvPYOvUhc+s83hx36QpGwGcD7RA0bPT5OrTx7PHd0N1CL+Wwy91We8yIOFBS6nxo1R7w=="
    },
    {
      "unsigned": "dzeHbwhiVXQqcUGj563z51/7sLUdxjL93SbOUyZRjH8=",
      "signed": "VgQPvrTsvGljVBFxHnswduq16x8ZrnxfcYVYGf/N7gEzI4At3GDs2EVZWTRdvS0uGHdkFYp1apHgJZ7PDVmGcTkIXVD2lFYppcgNlSzkYlftr5EOjqS9ZjYEqgGuB4g//MxaBaRbJai/6BlcE92NIdBusTtreIm3yTpjIXNAVoeRSnkfuw7wZcL96QoklNb1WUuSHw+psUyeIVtIwFMHEfFoRC0t+VhmnlnFnkjGPb9W3Aprw2dRRvFM3R2ZTDvMCiOYDzUCd43GftGq2LfxH3qSD51oFHglHQVOY0jyVzzlAvub5HQdtOQdErIeO0/9dGx5yot07o3xaGl5yQRhwA=="
    }
  ]
}

  8. Jetzt, da Ihre Token-Datei alle erforderlichen Signaturen enthält, können Sie fortfahren. Geben Sie den Namen der Datei ein, die die signierten Token enthält, und drücken Sie die Eingabetaste. Geben Sie abschließend den Pfad Ihres neuen öffentlichen Schlüssels ein. Jetzt sehen Sie Folgendes als Teil der Ausgabe der Benutzerliste.

    Enter signed token file path (press enter if same as the unsigned token file):
Enter public key PEM file path:officer1.pub
{
  "error_code": 0,
  "data": {
    "username": "<USERNAME>",
    "role": "crypto-user"
  }
}

    Jetzt haben wir unseren Benutzer mit MFA eingerichtet.

    {
    "username": "<USERNAME>",
    "role": "crypto-user",
    "locked": "false",
    "mfa": [
      {
        "strategy": "token-sign",
        "status": "enabled"
      }
    ],
    "cluster-coverage": "full"
},