AWS CloudHSM Der Benutzer von Client SDK 5 enthält inkonsistente Werte - AWS CloudHSM

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AWS CloudHSM Der Benutzer von Client SDK 5 enthält inkonsistente Werte

Der user list Befehl in AWS CloudHSM Client SDK 5 gibt eine Liste aller Benutzer und Benutzereigenschaften in Ihrem Cluster zurück. Wenn eine der Eigenschaften eines Benutzers den Wert „inconsistent“ hat, wird dieser Benutzer nicht in Ihrem gesamten Cluster synchronisiert. Das bedeutet, dass der Benutzer mit unterschiedlichen Eigenschaften auf verschiedenen HSMs Clustern existiert. Je nachdem, welche Eigenschaft inkonsistent ist, können unterschiedliche Reparaturschritte unternommen werden.

Die folgende Tabelle enthält Schritte zum Beheben von Inkonsistenzen für einen einzelnen Benutzer. Wenn ein einzelner Benutzer mehrere Inkonsistenzen aufweist, lösen Sie diese, indem Sie die folgenden Schritte von oben nach unten ausführen. Wenn mehrere Benutzer Inkonsistenzen aufweisen, arbeiten Sie diese Liste für jeden Benutzer durch und beheben Sie die Inkonsistenzen für diesen Benutzer vollständig, bevor Sie mit dem nächsten fortfahren.

Anmerkung

Um diese Schritte durchzuführen, sollten Sie idealerweise als Administrator angemeldet sein. Wenn Ihr Administratorkonto nicht konsistent ist, gehen Sie wie folgt vor, melden Sie sich beim Administrator an und wiederholen Sie die Schritte, bis alle Eigenschaften konsistent sind. Sobald Ihr Administratorkonto konsistent ist, können Sie diesen Administrator verwenden, um andere Benutzer im Cluster zu synchronisieren.

Inkonsistentes Merkmal Beispielausgabe einer Benutzerliste Auswirkung Wiederherstellungsmethode
Die „Rolle“ des Benutzers ist „inkonsistent“ 
{
"username": 
"test_user",    
"role": "inconsistent",    
"locked": "false",    
"mfa": [],     
"cluster-coverage": "full"
}
 Dieser Benutzer ist CryptoUser bei einigen ein HSMs und bei anderen ein AdminHSMs. Dies kann passieren, wenn zwei Personen gleichzeitig SDKs versuchen, denselben Benutzer mit unterschiedlichen Rollen zu erstellen. Sie müssen diesen Benutzer entfernen und ihn mit der gewünschten Rolle neu erstellen.

  1. Melden Sie sich als Administrator an.

  2. Löschen Sie den Benutzer auf allen: HSMs

    user delete --username <user's name> --role admin

    user delete --username <user's name> --role crypto-user

  3. Erstellen Sie den Benutzer mit der gewünschten Rolle:

    user create --username <user's name> --role <desired role>
Der Benutzer „Cluster-Abdeckung“ ist „inkonsistent“ 
{
"username": "test_user",    
"role": "crypto-user",    
"locked": "false",    
"mfa": [],     
"cluster-coverage": "inconsistent"
}

Dieser Benutzer ist in einer Teilmenge von HSMs im Cluster vorhanden. Dies kann passieren, wenn ein Vorgang user create teilweise erfolgreich war, oder wenn ein Benutzer teilweise erfolgreich war. user delete

Sie müssen Ihren vorherigen Vorgang beenden, indem Sie diesen Benutzer entweder erstellen oder aus Ihrem Cluster entfernen.

Wenn der Benutzer nicht existieren sollte, gehen Sie wie folgt vor:

  1. Melden Sie sich als Administrator an.

  2. Führen Sie diesen Befehl aus:

    user delete --username<user's name> --role admin

  3. Führen Sie den Befehl jetzt aus:

    user delete --username<user's name> --role crypto-user

Wenn der Benutzer existieren sollte, gehen Sie wie folgt vor:

  1. Melden Sie sich als Administrator an.

  2. Führen Sie den folgenden Befehl aus:

    user create --username <user's name> --role <desired role>

Der Parameter „Gesperrt“ des Benutzers ist „inkonsistent“ oder „wahr“ 
{
"username": 
"test_user",    
"role": "crypto-user",    
"locked": inconsistent,    
"mfa": [],     
"cluster-coverage": "full"
}

Dieser Benutzer ist für eine Teilmenge von gesperrt. HSMs

Dies kann passieren, wenn ein Benutzer das falsche Passwort verwendet und sich nur mit einer Teilmenge von HSMs im Cluster verbindet.

Sie müssen die Anmeldeinformationen des Benutzers ändern, damit sie im gesamten Cluster einheitlich sind.

Wenn der Benutzer MFA aktiviert hat, gehen Sie wie folgt vor:

  1. Melden Sie sich als Administrator an.

  2. Führen Sie den folgenden Befehl aus, um ihn vorübergehend zu deaktivierenMFA:

    user change-mfa token-sign --username <user's name> --role <desired role> --disable

  3. Ändern Sie das Passwort des Benutzers, damit er sich bei allen anmelden kannHSMs:

    user change-password --username <user's name> --role <desired role>

Wenn es für den Benutzer aktiv sein MFA sollte, gehen Sie wie folgt vor:

  1. Bitten Sie den Benutzer, sich anzumelden und erneut zu aktivieren MFA (dazu muss er Tokens signieren und seinen öffentlichen Schlüssel in einer PEM Datei angeben):

    user change-mfa token-sign --username <user's name> --role <desired role> —token <File>

MFAder Status ist „inkonsistent“ 
{    
"username": "test_user",    
"role": "crypto-user",    
"locked": "false",    
"mfa": [
  {            
   "strategy": "token-sign",
   "status": "inconsistent"
   }    
],     
"cluster-coverage": "full"
}

Dieser Benutzer hat unterschiedliche MFA Flags für verschiedene Benutzer HSMs im Cluster.

Dies kann passieren, wenn ein MFA Vorgang nur für eine Teilmenge von HSMs abgeschlossen wurde.

Sie müssen das Benutzerkennwort zurücksetzen und ihm die erneute MFA Aktivierung ermöglichen.

Wenn der Benutzer MFA aktiviert wurde, gehen Sie wie folgt vor:

  1. Melden Sie sich als Administrator an.

  2. Führen Sie den folgenden Befehl aus, um ihn vorübergehend zu deaktivierenMFA:

    user change-mfa token-sign --username <user's name> --role <desired role> --disable

  3. Sie müssen dann auch das Passwort des Benutzers ändern, damit er sich bei allen anmelden kannHSMs:

    user change-password --username <user's name> --role <desired role>

Wenn es für den Benutzer aktiv sein MFA sollte, gehen Sie wie folgt vor:

  1. Bitten Sie den Benutzer, sich anzumelden und erneut zu aktivieren MFA (dazu muss er Tokens signieren und seinen öffentlichen Schlüssel in einer PEM Datei angeben):

    user change-mfa token-sign --username <user's name> --role <desired role> —token <File>