Sehen Sie sich einen AWS CloudHSM Schlüsselspeicher an

Wenn Sie sich die AWS CloudHSM Schlüsselspeicher in der ansehen AWS Management Console, können Sie Folgendes sehen:

Der Wert Disconnected für den Verbindungsstatus (Status) gibt an, dass der benutzerdefinierte Schlüsselspeicher neu ist und noch nie verbunden wurde oder dass er absichtlich vom Cluster getrennt wurde. AWS CloudHSM Wenn Ihre Versuche, einen KMS-Schlüssel in einem verbundenen benutzerdefinierten Schlüsselspeicher zu verwenden, fehlschlagen, kann dies auf ein Problem mit dem benutzerdefinierten Schlüsselspeicher oder seinem AWS CloudHSM Cluster hinweisen. Weitere Informationen dazu finden Sie unter Beheben eines fehlerhaften KMS-Schlüssels.

Gehen Sie wie folgt vor, um die AWS CloudHSM Schlüsselspeicher in einem bestimmten Konto und einer bestimmten Region anzuzeigen.

Klicken Sie auf das Zahnradsymbol unter der Schaltfläche Create key store (Schlüsselspeicher erstellen), um die Anzeige anzupassen.

Verwenden Sie den DescribeCustomKeyStoresVorgang, um Ihre AWS CloudHSM wichtigsten Speicher anzuzeigen. Standardmäßig gibt diese Operation alle benutzerdefinierten Schlüsselspeicher im Konto und in der Region zurück. Sie können jedoch entweder den Parameter CustomKeyStoreId oder CustomKeyStoreName (aber nicht beide) verwenden, um die Ausgabe auf einen bestimmten benutzerdefinierten Schlüsselspeicher zu begrenzen. Bei AWS CloudHSM Schlüsselspeichern besteht die Ausgabe aus der ID und dem Namen des benutzerdefinierten Schlüsselspeichers, dem Typ des benutzerdefinierten Schlüsselspeichers, der ID des zugehörigen AWS CloudHSM Clusters und dem Verbindungsstatus. Wenn der Verbindungsstatus auf einen Fehler hinweist, enthält die Ausgabe außerdem einen Fehlercode, der die Ursache angibt.

Für diese Beispiele wird die AWS Command Line Interface (AWS CLI) verwendet. Sie können aber jede unterstützte Programmiersprache nutzen.

Beispielsweise gibt der folgende Befehl alle benutzerdefinierten Schlüsselspeicher im Konto und in der Region zurück. Sie können die Parameter Marker und Limit verwenden, um durch die benutzerdefinierten Schlüsselspeicher in der Ausgabe zu blättern.

$ aws kms describe-custom-key-stores

Der folgende Beispielbefehl verwendet den Parameter CustomKeyStoreName, um nur den benutzerdefinierten Schlüsselspeicher mit dem Anzeigenamen ExampleCloudHSMKeyStore abzurufen. In jedem Befehl können Sie entweder den Parameter CustomKeyStoreName oder CustomKeyStoreId (aber nicht beide) verwenden.

Die folgende Beispielausgabe stellt einen AWS CloudHSM Schlüsselspeicher dar, der mit seinem AWS CloudHSM Cluster verbunden ist.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleCloudHSMKeyStore
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionState": "CONNECTED",
         "CreationDate": "1.499288695918E9",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}

Ein Disconnected Wert ConnectionState von gibt an, dass mit einem benutzerdefinierten Schlüsselspeicher noch nie eine Verbindung hergestellt wurde oder dass die Verbindung zu seinem AWS CloudHSM Cluster absichtlich getrennt wurde. Wenn jedoch Versuche, einen KMS-Schlüssel in einem verbundenen AWS CloudHSM Schlüsselspeicher zu verwenden, fehlschlagen, kann dies auf ein Problem mit dem AWS CloudHSM Schlüsselspeicher oder seinem AWS CloudHSM Cluster hinweisen. Weitere Informationen dazu finden Sie unter Beheben eines fehlerhaften KMS-Schlüssels.

Wenn der ConnectionState des benutzerdefinierten Schlüsselspeichers FAILED lautet, enthält die DescribeCustomKeyStores-Antwort ein ConnectionErrorCode-Element, das den Grund für den Fehler angibt.

In der folgenden Ausgabe deutet der Wert INVALID_CREDENTIALS beispielsweise darauf hin, dass die Verbindung des benutzerdefinierten Schlüsselspeichers fehlgeschlagen ist, da das kmsuser-Passwort ungültig ist. Weitere Informationen zu diesem und anderen Verbindungsfehlern finden Sie unter Fehlerbehebung für einen Custom Key Store.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionErrorCode": "INVALID_CREDENTIALS",
         "ConnectionState": "FAILED",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "CreationDate": "1.499288695918E9",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}

$ aws kms describe-custom-key-stores

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleCloudHSMKeyStore
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionState": "CONNECTED",
         "CreationDate": "1.499288695918E9",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionErrorCode": "INVALID_CREDENTIALS",
         "ConnectionState": "FAILED",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "CreationDate": "1.499288695918E9",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}