Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Fehlerbehebung für einen Custom Key Store

AWS CloudHSM-Schlüsselspeicher sind so konzipiert, dass sie zuverlässig und widerstandsfähig sind. Es gibt jedoch einige Fehlerzustände, die Sie möglicherweise beheben müssen, um die Betriebsbereitschaft Ihres AWS CloudHSM-Schlüsselspeichers zu wahren.

So reparieren Sie nicht-verfügbare KMS-Schlüssel

Der Schlüsselstatus von AWS KMS keys in einem AWS CloudHSM-Schlüsselspeicher ist normalerweise Enabled. Wie bei allen KMS-Schlüsseln ändert sich der Schlüsselstatus, wenn Sie die KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher deaktivieren oder sie zur Löschung einplanen. Im Gegensatz zu anderen KMS-Schlüsseln können die KMS-Schlüssel in einem benutzerdefinierten Schlüsselspeicher aber auch den Schlüsselstatus Unavailable haben.

Der Schlüsselstatus Unavailable gibt an, dass sich der KMS-Schlüssel in einem benutzerdefinierten Schlüsselspeicher befindet, der absichtlich getrennt wurde und eventuelle Versuche, die Verbindung wiederherzustellen, fehlgeschlagen sind. Wenn ein KMS-Schlüssel nicht verfügbar ist, können Sie ihn anzeigen und verwalten, ihn jedoch nicht für kryptographische Produktionen verwenden.

Um den Schlüsselstatus eines KMS-Schlüssels zu ermitteln, zeigen Sie auf der Seite Customer managed keys (kundenverwaltete Schlüssel) das Feld Status des KMS-Schlüssels an. Oder verwenden Sie die -DescribeKeyOperation und zeigen Sie das -KeyStateElement in der Antwort an. Details hierzu finden Sie unter Anzeigen von Schlüsseln.

Die KMS-Schlüssel in einem benutzerdefinierten Schlüsselspeicher haben den Schlüsselstatus Unavailable oder PendingDeletion. KMS-Schlüssel, die zur Löschung aus einem benutzerdefinierten Schlüsselspeicher geplant sind, haben den Schlüsselstatus Pending Deletion, auch wenn der benutzerdefinierten Schlüsselspeicher getrennt ist. Auf diese Weise können Sie die geplante Löschung des Schlüssels stornieren, ohne dass Sie erneut eine Verbindung mit dem Custom Key Store herstellen müssen.

Um die Nichtverfügbarkeit eines KMS-Schlüssels zu beheben, verbinden Sie den benutzerdefinierten Schlüsselspeicher wieder. Wenn der benutzerdefinierten Schlüsselspeicher wieder verbunden ist, wechselt der Schlüsselstatus der KMS-Schlüssels im benutzerdefinierten Schlüsselspeicher automatisch wieder zum vorherigen Zustand, etwa zu Enabled oder Disabled. KMS-Schlüssel, die zur Löschung ausstehen, bleiben im Status PendingDeletion. Während das Problem bestehen bleibt, ändert das Aktivieren und Deaktivieren eines nicht-verfügbaren KMS-Schlüssels dessen Schlüsselstatus nicht. Das Aktivieren und Deaktivieren wirkt sich erst aus, wenn der Schlüssel wieder verfügbar ist.

Für Hilfe bei fehlgeschlagenen Verbindungen vgl. Beheben eines Verbindungsfehlers.

Beheben eines fehlerhaften KMS-Schlüssels

Probleme mit der Erstellung und Verwendung von KMS-Schlüssel in AWS CloudHSM-Schlüsselspeichern können von einem Problem mit Ihrem AWS CloudHSM-Schlüsselspeicher, dem dazugehörigen AWS CloudHSM-Cluster, dem KMS-Schlüssel oder dessen Schlüsselmaterial verursacht werden.

Wenn ein AWS CloudHSM-Schlüsselspeicher von seinem AWS CloudHSM-Cluster getrennt wird, ist der Schlüsselstatus der KMS-Schlüssels in dem benutzerdefinierten Schlüsselspeicher Unavailable. Alle Anforderungen zum Erstellen von KMS-Schlüsseln in einem getrennten AWS CloudHSM-Schlüsselspeicher führen zu der Ausnahme CustomKeyStoreInvalidStateException. Alle Anforderungen zum Verschlüsseln, erneuten Verschlüsseln oder zum Generieren von Datenschlüsseln führen zu der Ausnahme KMSInvalidStateException. Verbinden Sie zur Behebung des Problems den AWS CloudHSM-Schlüsselspeicher erneut.

Ihre Versuche, einen KMS-Schlüssel aus einem AWS CloudHSM-Schlüsselspeicher für kryptographische Produktionen zu verwenden, können jedoch fehlschlagen, selbst wenn sein Schlüsselstatus Enabled und der Verbindungsstatus des AWS CloudHSM-Schlüsselspeichers Connected ist. Dies kann durch eine der folgenden Ursachen bedingt sein.

Beheben eines Verbindungsfehlers

Wenn Sie versuchen, einen AWS CloudHSM-Schlüsselspeicher mit seinem AWS CloudHSM-Cluster zu verbinden, der Vorgang jedoch fehlschlägt, wechselt der Verbindungsstatus des AWS CloudHSM-Schlüsselspeichers zu FAILED. Um den Verbindungsstatus eines -AWS CloudHSMSchlüsselspeichers zu ermitteln, verwenden Sie die -AWS KMSKonsole oder die -DescribeCustomKeyStoresOperation.

Alternativ können einige Verbindungsversuche aufgrund leicht zu erkennender Cluster-Konfigurationsfehler fehlschlagen. In diesem Fall lautet der Verbindungsstatus immer noch DISCONNECTED. Diese Fehler geben eine Fehlermeldung oder Ausnahme mit einer Begründung für den fehlgeschlagenen Verbindungsversuch zurück. Überprüfen Sie die Beschreibung der Ausnahme und die -Cluster-Anforderungen, beheben Sie das Problem, aktualisieren Sie den AWS CloudHSM-Schlüsselspeicher, sofern erforderlich, und versuchen Sie erneut, eine Verbindung herzustellen.

Wenn der Verbindungsstatus lautetFAILED, führen Sie die -DescribeCustomKeyStoresOperation aus und sehen Sie sich das -ConnectionErrorCodeElement in der Antwort an.

Wie man auf Fehler bei kryptografischen Produktionen reagiert

Eine kryptografische Produktion, die einen KMS-Schlüssel in einem benutzerdefinierten Schlüsselspeicher verwendet, schlägt möglicherweise mit einem KMSInvalidStateException fehl. Die folgenden Fehlermeldungen könnten dem KMSInvalidStateException beiliegen.

Reparieren ungültiger kmsuser-Anmeldeinformationen

Wenn Sie einen AWS CloudHSM-Schlüsselspeicher verbinden, meldet AWS KMS sich bei dem zugeordneten AWS CloudHSM-Cluster als kmsuser-Kryptobenutzer (Crypto User, CU) an. Die Anmeldung bleibt bestehen, bis der AWS CloudHSM-Schlüsselspeicher getrennt wird. Die Antwort DescribeCustomKeyStores meldet ConnectionState als FAILED und ConnectionErrorCode mit dem Wert INVALID_CREDENTIALS (siehe folgendes Beispiel).

Wenn Sie den AWS CloudHSM-Schlüsselspeicher trennen und das kmsuser-Passwort ändern, kann sich AWS KMS nicht beim AWS CloudHSM-Cluster mit den Anmeldeinformationen des kmsuser-CU-Kontos anmelden. Dies hat zur Folge, dass alle Versuche, den AWS CloudHSM-Schlüsselspeicher zu verbinden, fehlschlagen. Die Antwort DescribeCustomKeyStores meldet ConnectionState als FAILED und ConnectionErrorCode mit dem Wert INVALID_CREDENTIALS (siehe folgendes Beispiel).

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Weiterhin gilt, dass, AWS CloudHSM nach fünf fehlgeschlagenen Anmeldeversuchen bei dem Cluster mit einem inkorrekten Passwort das Benutzerkonto sperrt. Zur Anmeldung bei dem Cluster müssen Sie das Kontopasswort ändern.

Wenn AWS KMS beim Versuch zur Anmeldung bei dem Cluster als kmsuser-CU eine Lockout-Antwort erhält, schlägt der Verbindungsversuch für den AWS CloudHSM-Schlüsselspeicher fehl. Die DescribeCustomKeyStores Antwort enthält einen ConnectionState von FAILED und einen ConnectionErrorCode Wert von USER_LOCKED_OUT, wie im folgenden Beispiel gezeigt.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Gehen Sie zum Beheben eines dieser Zustände wie folgt vor.

Löschen von verwaistem Schlüsselmaterial

Nach der Planung der Löschung eines KMS-Schlüssels aus einem AWS CloudHSM-Schlüsselspeicher müssen Sie möglicherweise das entsprechende Schlüsselmaterial manuell aus dem zugehörigen AWS CloudHSM-Cluster löschen.

Wenn Sie einen KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher erstellen, erstellt AWS KMS die KMS-Schlüssel-Metadaten in AWS KMS und generiert das Schlüsselmaterial in dem zugeordneten AWS CloudHSM-Cluster. Wenn Sie die Löschung eines KMS-Schlüssels in einem AWS CloudHSM-Schlüsselspeicher planen, löscht AWS KMS nach der Wartezeit die KMS-Schlüssel-Metadaten. Anschließend versucht AWS KMS unter Verwendung aller verfügbaren Methoden, das Schlüsselmaterial aus dem zugehörigen AWS CloudHSM-Cluster zu löschen. Der Versuch kann fehlschlagen, wenn AWS KMS nicht auf den Cluster zugreifen kann, z. B. wenn die Verbindung zum AWS CloudHSM-Schlüsselspeicher getrennt wurde oder sich das kmsuser Kennwort geändert hat. AWS KMS versucht nicht, das Material des Schlüssels aus Clustersicherungen zu löschen.

AWS KMS meldet die Ergebnisse des Versuchs, das Schlüsselmaterial aus dem Cluster im DeleteKey-Eventeintrag Ihrer AWS CloudTrail-Protokolle zu löschen. Es erscheint im backingKeysDeletionStatus-Element des additionalEventData-Elements, wie im folgenden Beispieleintrag gezeigt. Der Eintrag enthält die KMS-Schlüssel-ID, die AWS CloudHSM-Cluster-ID und den Schlüssel-Handle des Schlüsselmaterials (backing-key-id).

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "eu-west-1",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements": null,
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"keyHandle\":\"01\",\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"keyHandle\":\"16\",\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Gehen Sie zum Löschen des Schlüsselmaterials von dem zugehörigen AWS CloudHSM-Cluster etwa wie folgt vor. Dieses Beispiel verwendet die Befehlszeilen-Tools AWS CLI und AWS CloudHSM, Sie können stattdessen aber auch die AWS Management Console verwenden.

Wiederherstellen von gelöschtem Schlüsselmaterial für einen KMS-Schlüssel

Wenn das Schlüsselmaterial für einen AWS KMS key gelöscht wird, kann der KMS-Schlüssel nicht verwendet werden und der gesamte Chiffretext, der unter dem KMS-Schlüssel verschlüsselt wurde, kann nicht entschlüsselt werden. Dies kann der Fall sein, wenn das Schlüsselmaterial für einen KMS-Schlüssel in einem AWS CloudHSM-Schlüsselspeicher aus dem zugeordneten AWS CloudHSM-Cluster gelöscht wurde. Es kann jedoch möglich sein, das Schlüsselmaterial wiederherzustellen.

Wenn Sie einen AWS KMS key (KMS-Schlüssel) in einem AWS CloudHSM-Schlüsselspeicher erstellen, meldet sich AWS KMS im zugeordneten AWS CloudHSM-Cluster an und erstellt das Schlüsselmaterial für den KMS-Schlüssel. Dazu ändert es das Passwort zu einem Wert, der nur ihm bekannt ist, und bleibt angemeldet, bis der AWS CloudHSM-Schlüsselspeicher verbunden wird. Da nur der Eigentümer des Schlüssels, d.h. der CU, der den Schlüssel erstellt hat, diesen löschen kann, ist es unwahrscheinlich, dass der Schlüssel versehentlich von den HSMs gelöscht wird.

Wenn jedoch das Schlüsselmaterial für einen KMS-Schlüssel von den HSMs in einem Cluster gelöscht wird, wechselt der Schlüsselstatus des KMS-Schlüssels schließlich zu UNAVAILABLE. Wenn Sie versuchen, den KMS-Schlüssel für eine kryptographische Operation zu verwenden, schlägt die Operation mit einer KMSInvalidStateException-Ausnahme fehl. Wichtig dabei ist, dass die mit dem KMS-Schlüssel verschlüsselten Daten nicht mehr entschlüsselt werden können.

Unter bestimmten Umständen können Sie das gelöschte Schlüsselmaterial wiederherstellen, indem Sie einen Cluster aus einem Backup erstellen, das das Schlüsselmaterial enthält. Diese Strategie funktioniert nur, wenn mindestens eine Sicherung erstellt wurde, während der Schlüssel vorhanden war und bevor er gelöscht wurde.

Gehen Sie wie folgt vor, um das Schlüsselmaterial wiederherzustellen.

Anmeldung als kmsuser

Um Schlüsselmaterial in dem AWS CloudHSM-Cluster für Ihren AWS CloudHSM-Schlüsselspeicher zu erstellen und zu verwalten, verwendet AWS KMS das kmsuser-Kryptobenutzer-Konto (CU). Sie erstellen das kmsuser-CU-Konto in Ihrem Cluster und übergeben dessen Passwort an AWS KMS, wenn Sie Ihren AWS CloudHSM-Schlüsselspeicher erstellen.

Generell verwaltet AWS KMS das kmsuser-Konto. Für einige Aufgaben müssen Sie jedoch den AWS CloudHSM-Schlüsselspeicher trennen, sich bei dem Cluster als kmsuser-CU anmelden und die Befehlszeilen-Tools cloudhsm_mgmt_util und key_mgmt_util verwenden.

In diesem Thema wird erläutert, wie Sie Ihren AWS CloudHSM-Schlüsselspeicher trennen und sich als kmsuser anmelden, das AWS CloudHSM-Befehlszeilen-Tool ausführen und sich abmelden und Ihren AWS CloudHSM-Schlüsselspeicher wieder verbinden.

Trennen und Anmelden

Gehen Sie jedes Mal wie folgt vor, wenn Sie sich bei einem zugehörigen Cluster als kmsuser-CU anmelden müssen.

Abmelden und erneutes Verbinden