Einen AWS CloudHSM Schlüsselspeicher Connect

Um einen AWS CloudHSM Schlüsselspeicher in der zu verbinden AWS Management Console, wählen Sie zunächst den AWS CloudHSM Schlüsselspeicher auf der Seite Benutzerdefinierte Schlüsselspeicher aus. Der Verbindungsvorgang kann bis zu 20 Minuten dauern.

AWS KMS beginnt mit dem Verbindungsaufbau Ihres benutzerdefinierten Schlüsselspeichers. Der Service findet den zugehörigen AWS CloudHSM -Cluster, schafft die erforderlichen Netzwerkinfrastruktur, stellt eine Verbindung her, meldet sich beim AWS CloudHSM -Cluster als kmsuser-CU an und rotiert das kmsuser-Passwort. Wenn die Produktion abgeschlossen ist, ändert sich der Verbindungsstatus in Verbunden.

Wenn die Produktion fehlschlägt, wird eine Fehlermeldung mit einer Beschreibung der Fehlerursache angezeigt. Bevor Sie erneut versuchen, eine Verbindung herzustellen, überprüfen Sie den Verbindungsstatus Ihres AWS CloudHSM Schlüsselspeichers. Wenn dieser Fehlgeschlagen lautet, müssen Sie die Verbindung des benutzerdefinierten Schlüsselspeichers trennen, bevor Sie erneut eine Verbindung herstellen. Wenn Sie Hilfe benötigen, beachten Sie den Abschnitt Fehlerbehebung für einen Custom Key Store.

Danach: Einen KMS Schlüssel in einem AWS CloudHSM Schlüsselspeicher erstellen.

Verwenden Sie den ConnectCustomKeyStoreVorgang, um einen getrennten AWS CloudHSM Schlüsselspeicher zu verbinden. Der zugeordnete AWS CloudHSM Cluster muss mindestens einen aktiven Cluster enthalten, HSM und der Verbindungsstatus darf nicht seinFAILED.

Der Verbindungsvorgang nimmt einige Zeit – bis zu 20 Minuten – in Anspruch. Sofern der Vorgang nicht schnell fehlschlägt, gibt er eine Antwort von HTTP 200 und ein JSON Objekt ohne Eigenschaften zurück. Diese erste Antwort gibt jedoch nicht an, dass die Verbindung erfolgreich war. Informationen zum Ermitteln des Verbindungsstatus des benutzerdefinierten Schlüsselspeichers finden Sie in der DescribeCustomKeyStoresAntwort.

Für diese Beispiele wird die AWS Command Line Interface (AWS CLI) verwendet. Sie können aber jede unterstützte Programmiersprache nutzen.

Um den AWS CloudHSM Schlüsselspeicher zu identifizieren, verwenden Sie seine benutzerdefinierte Schlüsselspeicher-ID. Sie finden die ID auf der Seite Benutzerdefinierte Schlüsselspeicher in der Konsole oder indem Sie den DescribeCustomKeyStoresVorgang ohne Parameter verwenden. Ersetzen Sie vor Ausführung dieses Beispiels die Beispiel-ID durch eine gültige ID.

$ aws kms connect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Verwenden Sie den DescribeCustomKeyStoresVorgang, um zu überprüfen, ob der AWS CloudHSM Schlüsselspeicher verbunden ist. Diese Produktion gibt standardmäßig alle benutzerdefinierten Schlüsselspeicher innerhalb des Kontos und der Region zurück. Sie können jedoch entweder den Parameter CustomKeyStoreId oder CustomKeyStoreName (aber nicht beide) verwenden, um die Antwort auf bestimmte benutzerdefinierte Schlüsselspeicher zu begrenzen. Der ConnectionState-Wert CONNECTED gibt an, dass der benutzerdefinierte Schlüsselspeicher mit seinem AWS CloudHSM -Cluster verbunden ist.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

Wenn der ConnectionState-Wert „Failed (Fehlgeschlagen)” lautet, ist im Element ConnectionErrorCode die Fehlerursache angegeben. In diesem Fall AWS KMS konnte in Ihrem Konto kein AWS CloudHSM Cluster mit der Cluster-ID gefunden cluster-1a23b4cdefg werden. Wenn Sie den Cluster gelöscht haben, können Sie ihn von einer Sicherung des ursprünglichen Clusters wiederherstellen und dann die Cluster-ID für den benutzerdefinierten Schlüsselspeicher bearbeiten. Hilfe beim Beantworten eines Verbindungsfehlercodes finden Sie unter Beheben eines Verbindungsfehlers.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
      "ConnectionErrorCode": "CLUSTER_NOT_FOUND"
   ],
}