Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung für einen Custom Key Store

AWS CloudHSM wichtige Geschäfte sind so konzipiert, dass sie verfügbar und belastbar sind. Es gibt jedoch einige Fehlerbedingungen, die Sie möglicherweise beheben müssen, um Ihren AWS CloudHSM Schlüsselspeicher betriebsbereit zu halten.

Wie repariert man nicht verfügbare KMS Schlüssel

Der Schlüsselstatus von AWS KMS keys in einem AWS CloudHSM Schlüsselspeicher ist normalerweiseEnabled. Wie bei allen KMS Schlüsseln ändert sich der Schlüsselstatus, wenn Sie die KMS Schlüssel in einem AWS CloudHSM Schlüsselspeicher deaktivieren oder ihre Löschung planen. Im Gegensatz zu anderen KMS Schlüsseln können die KMS Schlüssel in einem benutzerdefinierten Schlüsselspeicher jedoch auch den Schlüsselstatus habenUnavailable.

Der Schlüsselstatus von Unavailable gibt an, dass sich der KMS Schlüssel in einem benutzerdefinierten Schlüsselspeicher befindet, dessen Verbindung absichtlich getrennt wurde. Versuche, die Verbindung erneut herzustellen, sind fehlgeschlagen. Solange ein KMS Schlüssel nicht verfügbar ist, können Sie ihn anzeigen und verwalten, aber Sie können ihn nicht für kryptografische Operationen verwenden. KMS

Den Schlüsselstatus eines KMS Schlüssels finden Sie auf der Seite Vom Kunden verwaltete Schlüssel im Statusfeld des KMS Schlüssels. Oder verwenden Sie die DescribeKeyOperation und sehen Sie sich das KeyState Element in der Antwort an. Details hierzu finden Sie unter Schlüssel identifizieren und anzeigen.

Die KMS Schlüssel in einem getrennten benutzerdefinierten Schlüsselspeicher haben den Schlüsselstatus Unavailable oderPendingDeletion. KMSSchlüssel, deren Löschung aus einem benutzerdefinierten Schlüsselspeicher geplant ist, haben einen Pending Deletion Schlüsselstatus, auch wenn der benutzerdefinierte Schlüsselspeicher getrennt ist. Auf diese Weise können Sie die geplante Löschung des Schlüssels stornieren, ohne dass Sie erneut eine Verbindung mit dem Custom Key Store herstellen müssen.

Um einen nicht verfügbaren KMS Schlüssel zu reparieren, stellen Sie erneut eine Verbindung zum benutzerdefinierten Schlüsselspeicher her. Nachdem der benutzerdefinierte Schlüsselspeicher wieder verbunden wurde, wird der Schlüsselstatus der KMS Schlüssel im benutzerdefinierten Schlüsselspeicher automatisch auf den vorherigen Zustand zurückgesetzt, z. B. Enabled oder. Disabled KMSSchlüssel, deren Löschung noch aussteht, behalten ihren PendingDeletion Status. Das Problem besteht zwar weiterhin, aber das Aktivieren und Deaktivieren eines nicht verfügbaren KMS Schlüssels ändert seinen Schlüsselstatus nicht. Das Aktivieren und Deaktivieren wirkt sich erst aus, wenn der Schlüssel wieder verfügbar ist.

Für Hilfe bei fehlgeschlagenen Verbindungen vgl. Beheben eines Verbindungsfehlers.

Wie repariert man einen fehlerhaften Schlüssel KMS

Probleme bei der Erstellung und Verwendung von KMS Schlüsseln in AWS CloudHSM Schlüsselspeichern können durch ein Problem mit Ihrem AWS CloudHSM Schlüsselspeicher, dem zugehörigen AWS CloudHSM Cluster, dem KMS Schlüssel oder dem zugehörigen Schlüsselmaterial verursacht werden.

Wenn ein AWS CloudHSM Schlüsselspeicher von seinem AWS CloudHSM Cluster getrennt wird, lautet der Schlüsselstatus der KMS Schlüssel im benutzerdefinierten Schlüsselspeicher. Unavailable Alle Anfragen zum Erstellen von KMS Schlüsseln in einem getrennten AWS CloudHSM Schlüsselspeicher geben eine CustomKeyStoreInvalidStateException Ausnahme zurück. Alle Anforderungen zum Verschlüsseln, erneuten Verschlüsseln oder zum Generieren von Datenschlüsseln führen zu der Ausnahme KMSInvalidStateException. Um das Problem zu beheben, stellen Sie die Verbindung zum AWS CloudHSM Schlüsselspeicher erneut her.

Ihre Versuche, einen KMS Schlüssel in einem AWS CloudHSM Schlüsselspeicher für kryptografische Operationen zu verwenden, können jedoch fehlschlagen, selbst wenn der Schlüsselstatus Enabled und der Verbindungsstatus des AWS CloudHSM Schlüsselspeichers gleich sind. Connected Dies kann durch eine der folgenden Ursachen bedingt sein.

Beheben eines Verbindungsfehlers

Wenn Sie versuchen, einen AWS CloudHSM Schlüsselspeicher mit seinem AWS CloudHSM Cluster zu verbinden, der Vorgang jedoch fehlschlägt, ändert sich der Verbindungsstatus des AWS CloudHSM Schlüsselspeichers aufFAILED. Um den Verbindungsstatus eines AWS CloudHSM Schlüsselspeichers zu ermitteln, verwenden Sie die AWS KMS Konsole oder den DescribeCustomKeyStoresVorgang.

Alternativ können einige Verbindungsversuche aufgrund leicht zu erkennender Cluster-Konfigurationsfehler fehlschlagen. In diesem Fall lautet der Verbindungsstatus immer noch DISCONNECTED. Diese Fehler geben eine Fehlermeldung oder Ausnahme mit einer Begründung für den fehlgeschlagenen Verbindungsversuch zurück. Lesen Sie die Beschreibung der Ausnahme und die Clusteranforderungen, beheben Sie das Problem, aktualisieren Sie gegebenenfalls den AWS CloudHSM Schlüsselspeicher und versuchen Sie erneut, eine Verbindung herzustellen.

Wenn der Verbindungsstatus lautetFAILED, führen Sie den DescribeCustomKeyStoresVorgang aus und sehen Sie sich das ConnectionErrorCode Element in der Antwort an.

Wie man auf Fehler bei kryptografischen Produktionen reagiert

Ein kryptografischer Vorgang, der einen KMS Schlüssel in einem benutzerdefinierten Schlüsselspeicher verwendet, schlägt möglicherweise mit einem KMSInvalidStateException fehl. Die folgenden Fehlermeldungen könnten dem KMSInvalidStateException beiliegen.

Reparieren ungültiger kmsuser-Anmeldeinformationen

Wenn Sie eine Verbindung zu einem AWS CloudHSM Schlüsselspeicher herstellen, AWS KMS meldet er sich als kmsuserCrypto User (CU) beim zugehörigen AWS CloudHSM Cluster an. Er bleibt angemeldet, bis die Verbindung zum AWS CloudHSM Schlüsselspeicher getrennt wird. Die DescribeCustomKeyStoresAntwort zeigt einen Wert ConnectionState von FAILED und einen ConnectionErrorCode Wert vonINVALID_CREDENTIALS, wie im folgenden Beispiel gezeigt.

Wenn Sie die Verbindung zum AWS CloudHSM Schlüsselspeicher trennen und das kmsuser Passwort ändern, AWS KMS können Sie sich nicht mit den Anmeldeinformationen des kmsuser CU-Kontos beim AWS CloudHSM Cluster anmelden. Daher schlagen alle Versuche fehl, eine Verbindung zum AWS CloudHSM Schlüsselspeicher herzustellen. Die Antwort DescribeCustomKeyStores meldet ConnectionState als FAILED und ConnectionErrorCode mit dem Wert INVALID_CREDENTIALS (siehe folgendes Beispiel).

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Weiterhin gilt, dass, AWS CloudHSM nach fünf fehlgeschlagenen Anmeldeversuchen bei dem Cluster mit einem inkorrekten Passwort das Benutzerkonto sperrt. Zur Anmeldung bei dem Cluster müssen Sie das Kontopasswort ändern.

Wenn beim Versuch, sich als kmsuser CU beim Cluster anzumelden, eine Sperrantwort angezeigt AWS KMS wird, schlägt die Anforderung, eine Verbindung zum AWS CloudHSM Schlüsselspeicher herzustellen, fehl. Die DescribeCustomKeyStoresAntwort enthält einen Wert ConnectionState von FAILED und einen ConnectionErrorCode Wert vonUSER_LOCKED_OUT, wie im folgenden Beispiel gezeigt.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Gehen Sie zum Beheben eines dieser Zustände wie folgt vor.

Löschen von verwaistem Schlüsselmaterial

Nachdem Sie das Löschen eines KMS Schlüssels aus einem AWS CloudHSM Schlüsselspeicher geplant haben, müssen Sie das entsprechende Schlüsselmaterial möglicherweise manuell aus dem zugehörigen AWS CloudHSM Cluster löschen.

Wenn Sie einen KMS Schlüssel in einem AWS CloudHSM Schlüsselspeicher erstellen, werden die KMS Schlüsselmetadaten im zugehörigen AWS CloudHSM Cluster AWS KMS erstellt AWS KMS und das Schlüsselmaterial generiert. Wenn Sie das Löschen eines KMS Schlüssels in einem AWS CloudHSM Schlüsselspeicher planen, werden die KMS Schlüsselmetadaten nach Ablauf der Wartezeit AWS KMS gelöscht. AWS KMS bemüht sich dann nach besten Kräften, das entsprechende Schlüsselmaterial aus dem AWS CloudHSM Cluster zu löschen. Der Versuch schlägt möglicherweise fehl, wenn AWS KMS kein Zugriff auf den Cluster möglich ist, z. B. wenn die Verbindung zum AWS CloudHSM Schlüsselspeicher getrennt wird oder das kmsuser Passwort geändert wird. AWS KMS versucht nicht, Schlüsselmaterial aus Cluster-Backups zu löschen.

AWS KMS meldet die Ergebnisse seines Versuchs, das Schlüsselmaterial aus dem Cluster zu löschen, im DeleteKey Ereigniseintrag Ihrer AWS CloudTrail Protokolle. Es erscheint im backingKeysDeletionStatus-Element des additionalEventData-Elements, wie im folgenden Beispieleintrag gezeigt. Der Eintrag enthält auch den KMS SchlüsselARN, die AWS CloudHSM Cluster-ID und die ID (backing-key-id) des Schlüsselmaterials.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Die folgenden Verfahren zeigen, wie das verwaiste Schlüsselmaterial aus dem zugehörigen AWS CloudHSM Cluster gelöscht wird.

Wie kann ich gelöschtes Schlüsselmaterial für einen KMS Schlüssel wiederherstellen

Wenn das Schlüsselmaterial für einen gelöscht AWS KMS key wird, ist der KMS Schlüssel unbrauchbar und der gesamte Chiffretext, der unter dem KMS Schlüssel verschlüsselt wurde, kann nicht entschlüsselt werden. Dies kann passieren, wenn das Schlüsselmaterial für einen KMS Schlüssel in einem AWS CloudHSM Schlüsselspeicher aus dem zugehörigen Cluster gelöscht wird. AWS CloudHSM Es kann jedoch möglich sein, das Schlüsselmaterial wiederherzustellen.

Wenn Sie einen AWS KMS key (KMSSchlüssel) in einem AWS CloudHSM Schlüsselspeicher erstellen, AWS KMS meldet er sich beim zugehörigen AWS CloudHSM Cluster an und erstellt das Schlüsselmaterial für den KMS Schlüssel. Außerdem wird das Passwort in einen Wert geändert, den nur es kennt, und es bleibt angemeldet, solange der AWS CloudHSM Schlüsselspeicher verbunden ist. Da nur der Schlüsselbesitzer, d. h. die CU, die einen Schlüssel erstellt hat, den Schlüssel löschen kann, ist es unwahrscheinlich, dass der Schlüssel HSMs versehentlich aus dem Schlüssel gelöscht wird.

Wenn jedoch das Schlüsselmaterial für einen KMS Schlüssel aus dem HSMs Cluster gelöscht wird, ändert sich der Schlüsselstatus des KMS Schlüssels irgendwann aufUNAVAILABLE. Wenn Sie versuchen, den KMS Schlüssel für einen kryptografischen Vorgang zu verwenden, schlägt der Vorgang mit einer KMSInvalidStateException Ausnahme fehl. Am wichtigsten ist, dass alle Daten, die unter dem KMS Schlüssel verschlüsselt wurden, nicht entschlüsselt werden können.

Unter bestimmten Umständen können Sie das gelöschte Schlüsselmaterial wiederherstellen, indem Sie einen Cluster aus einem Backup erstellen, das das Schlüsselmaterial enthält. Diese Strategie funktioniert nur, wenn mindestens eine Sicherung erstellt wurde, während der Schlüssel vorhanden war und bevor er gelöscht wurde.

Gehen Sie wie folgt vor, um das Schlüsselmaterial wiederherzustellen.

Anmeldung als kmsuser

AWS KMS Verwendet das kmsuserCrypto User (CU) -Konto, um das AWS CloudHSM Schlüsselmaterial im AWS CloudHSM Cluster für Ihren Schlüsselspeicher zu erstellen und zu verwalten. Sie erstellen das kmsuser CU-Konto in Ihrem Cluster und geben das zugehörige Passwort an, AWS KMS wenn Sie Ihren AWS CloudHSM Schlüsselspeicher erstellen.

AWS KMS Verwaltet im Allgemeinen das kmsuser Konto. Für einige Aufgaben müssen Sie jedoch die Verbindung zum AWS CloudHSM Schlüsselspeicher trennen, sich als kmsuser CU beim Cluster anmelden und die HSMCloud-Befehlszeilenschnittstelle (CLI) verwenden.

In diesem Thema wird erklärt, wie Sie die Verbindung zum AWS CloudHSM Schlüsselspeicher trennen und sich anmeldenkmsuser, das AWS CloudHSM Befehlszeilentool ausführen, sich abmelden und den Schlüsselspeicher erneut verbinden können AWS CloudHSM.

Trennen und Anmelden

Gehen Sie jedes Mal wie folgt vor, wenn Sie sich als kmsuser Crypto-Benutzer bei einem zugehörigen Cluster anmelden müssen.

Abmelden und erneutes Verbinden

Gehen Sie jedes Mal wie folgt vor, wenn Sie sich als kmsuser Crypto-Benutzer abmelden und die Verbindung zu Ihrem Schlüsselspeicher erneut herstellen müssen.