Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

# Referencia para los comandos de la CLI de CloudHSM
<a name="cloudhsm_cli-reference"></a>

La CLI de CloudHSM ayuda a los administradores a gestionar los usuarios de su clúster. AWS CloudHSM La CLI de CloudHSM se puede ejecutar en dos modos: modo interactivo y modo de comando único. Para un inicio rápido, consulte [Introducción a la interfaz de línea de AWS CloudHSM comandos (CLI)](cloudhsm_cli-getting-started.md). 

Para ejecutar la mayoría de los comandos de la CLI de CloudHSM, debe iniciar la CLI de CloudHSM e iniciar sesión en el HSM. Si agrega o elimina HSMs, actualice los archivos de configuración para la CLI de CloudHSM. De lo contrario, es posible que los cambios que realice no sean efectivos para todos los miembros del HSMs clúster.

En los temas siguientes, se describen los comandos de la CLI de CloudHSM. 


| Comando | Description (Descripción) | Tipo de usuario | 
| --- | --- | --- | 
| [activate](cloudhsm_cli-cluster-activate.md) | Activa un clúster de CloudHSM y confirma que el clúster es nuevo. Esto debe hacerse antes de poder realizar cualquier otra operación. | Administrador desactivado | 
| [hsm-info](cloudhsm_cli-cluster-hsm-info.md) | Incluya los HSMs elementos en su clúster. | Todos [1](#cli-ref-1), incluidos los usuarios no autenticados. No es necesario iniciar sesión. | 
| [ecdsa](cloudhsm_cli-crypto-sign-ecdsa.md) | Genera una firma mediante una clave privada EC y el mecanismo de firma ECDSA.  | Usuarios de criptografía (CU) | 
| [ed25519ph](cloudhsm_cli-crypto-sign-ed25519ph.md) | Genera una firma mediante una clave privada Ed25519 y el mecanismo de firma HashEd DSA.  | CU | 
| [rsa-pkcs](cloudhsm_cli-crypto-sign-rsa-pkcs.md) | Genera una firma mediante una clave privada RSA y el mecanismo de firma RSA-PKCS. | CU | 
| [rsa-pkcs-pss](cloudhsm_cli-crypto-sign-rsa-pkcs-pss.md) | Genera una firma mediante una clave privada RSA y el mecanismo de firma. RSA-PKCS-PSS | CU | 
| [ecdsa](cloudhsm_cli-crypto-verify-ecdsa.md) | Confirma que un archivo se ha firmado en el HSM con una clave pública determinada. Verifica que la firma se ha generado mediante el mecanismo de firma ECDSA. Compara un archivo firmado con un archivo de origen y determina si los dos están relacionados criptográficamente en función de una clave pública ecdsa y un mecanismo de firma determinados.  | CU | 
| [ed25519ph](cloudhsm_cli-crypto-verify-ed25519ph.md) | Verifica las firmas de la HashEd DSA mediante una clave pública Ed25519. | CU | 
| [rsa-pkcs](cloudhsm_cli-crypto-verify-rsa-pkcs.md) | Confirma que un archivo se ha firmado en el HSM con una clave pública determinada. Verifica que la firma se ha generado mediante el mecanismo de firma RSA-PKCS. Compara un archivo firmado con un archivo de origen y determina si los dos están relacionados criptográficamente en función de una clave pública rsa y un mecanismo de firma determinados. | CU | 
| [rsa-pkcs-pss](cloudhsm_cli-crypto-verify-rsa-pkcs-pss.md) | Confirma que un archivo se ha firmado en el HSM con una clave pública determinada. Verifica que la firma se haya generado mediante el mecanismo de firma. RSA-PKCS-PSS Compara un archivo firmado con un archivo de origen y determina si los dos están relacionados criptográficamente en función de una clave pública rsa y un mecanismo de firma determinados. | CU | 
| [eliminar clave](cloudhsm_cli-key-delete.md) | Elimina una clave del clúster. AWS CloudHSM  | CU | 
| [key generate-file](cloudhsm_cli-key-generate-file.md) | Genera un archivo de claves en el AWS CloudHSM clúster. | CU | 
| [clave generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md) | Genera un key pair de claves RSA asimétrico en el clúster AWS CloudHSM . | CU | 
| [clave, etc. generate-asymmetric-pair](cloudhsm_cli-key-generate-asymmetric-pair-ec.md) | Genera un key pair de curvas elípticas (EC) asimétricas en el clúster. AWS CloudHSM  | CU | 
| [key generate-symmetric aes](cloudhsm_cli-key-generate-symmetric-aes.md) | Genera una clave AES simétrica en el clúster. AWS CloudHSM  | CU | 
| [key generate-symmetric generic-secret](cloudhsm_cli-key-generate-symmetric-generic-secret.md) | Genera una clave secreta genérica simétrica en el clúster. AWS CloudHSM  | CU | 
| [key import pem](cloudhsm_cli-key-import-pem.md) | Importa una clave en formato PEM a un HSM. Puede utilizarlo para importar claves públicas que se han generado fuera del HSM. | CU | 
| [key list](cloudhsm_cli-key-list.md) | Busca todas las claves del usuario actual presente en el AWS CloudHSM clúster. | CU | 
| [key replicate](cloudhsm_cli-key-replicate.md) | Replica una clave de un clúster de origen a un clúster de destino clonado. | CU | 
| [key set-attribute](cloudhsm_cli-key-set-attribute.md) | Establece los atributos de las claves AWS CloudHSM del clúster. | CUs puede ejecutar este comando, los administradores pueden establecer el atributo de confianza. | 
| [key share](cloudhsm_cli-key-share.md) | Comparte una clave con otras CUs del AWS CloudHSM clúster. | CU | 
| [key unshare](cloudhsm_cli-key-unshare.md) | Deja de compartir una clave con otras CUs personas del AWS CloudHSM clúster. | CU | 
| [aes-gcm](cloudhsm_cli-key-unwrap-aes-gcm.md) | Desempaqueta una clave de carga útil en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado AES-GCM. | CU | 
| [aes-no-pad](cloudhsm_cli-key-unwrap-aes-no-pad.md) | Desempaqueta una clave de carga útil en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. AES-NO-PAD | CU | 
| [aes-pkcs5-pad](cloudhsm_cli-key-unwrap-aes-pkcs5-pad.md) | Desempaqueta una clave de carga mediante la clave de empaquetado AES y el mecanismo de desempaquetado AES- -PAD. PKCS5 | CU | 
| [aes-zero-pad](cloudhsm_cli-key-unwrap-aes-zero-pad.md) | Desempaqueta una clave de carga útil en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. AES-ZERO-PAD | CU | 
| [cloudhsm-aes-gcm](cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm.md) | Desempaqueta una clave de carga útil en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. CLOUDHSM-AES-GCM | CU | 
| [rsa-aes](cloudhsm_cli-key-unwrap-rsa-aes.md) | Desempaqueta una clave de carga útil mediante una clave privada RSA y el mecanismo de desempaquetado RSA-AES. | CU | 
| [rsa-oaep](cloudhsm_cli-key-unwrap-rsa-oaep.md) | Desempaqueta una clave de carga útil mediante la clave privada RSA y el mecanismo de desempaquetado RSA-OAEP. | CU | 
| [rsa-pkcs](cloudhsm_cli-key-unwrap-rsa-pkcs.md) | Desempaqueta una clave de carga útil mediante la clave privada RSA y el mecanismo de desempaquetado RSA-PKCS. | CU | 
| [aes-gcm](cloudhsm_cli-key-wrap-aes-gcm.md) | Empaqueta una clave de carga útil mediante una clave AES en el HSM y el mecanismo de empaquetado AES-GCM. | CU | 
| [aes-no-pad](cloudhsm_cli-key-wrap-aes-no-pad.md) | Envuelve una clave de carga mediante una clave AES en el HSM y en el mecanismo de empaquetado. AES-NO-PAD | CU | 
| [aes-pkcs5-pad](cloudhsm_cli-key-wrap-aes-pkcs5-pad.md) | Envuelve una clave de carga mediante una clave AES en el HSM y el mecanismo de empaquetado AES- -PAD. PKCS5 | CU | 
| [aes-zero-pad](cloudhsm_cli-key-wrap-aes-zero-pad.md) | Envuelve una clave de carga mediante una clave AES en el HSM y en el mecanismo de empaquetado. AES-ZERO-PAD | CU | 
| [cloudhsm-aes-gcm](cloudhsm_cli-key-wrap-cloudhsm-aes-gcm.md) | Envuelve una clave de carga mediante una clave AES en el HSM y en el mecanismo de empaquetado. CLOUDHSM-AES-GCM | CUs | 
| [rsa-aes](cloudhsm_cli-key-wrap-rsa-aes.md) | Empaqueta una clave de carga útil mediante una clave pública RSA en el HSM y el mecanismo de empaquetado RSA-AES. | CU | 
| [rsa-oaep](cloudhsm_cli-key-wrap-rsa-oaep.md) | Empaqueta una clave de carga útil mediante una clave pública RSA en el HSM y el mecanismo de empaquetado RSA-OAEP. | CU | 
| [ Empaquetar una clave con RSA-PKCS mediante la CLI de CloudHSMrsa-pkcs  El comando **key wrap rsa-pkcs** empaqueta una clave de carga útil mediante una clave pública RSA en el HSM y el mecanismo de empaquetado `RSA-PKCS`.   Use el comando **key wrap rsa-pkcs** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave pública RSA en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `RSA-PKCS`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`. Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas. Para usar el **key wrap rsa-pkcs** comando, primero debe tener una clave RSA en el AWS CloudHSM clúster. Puede generar un par de claves de RSA con el comando [La generate-asymmetric-pair categoría en CloudHSM CLI](cloudhsm_cli-key-generate-asymmetric-pair.md) y el atributo `wrap` establecido en `true`.  Tipo de usuario  Los tipos de usuarios siguientes pueden ejecutar este comando.   Usuarios criptográficos () CUs     Requisitos    Para ejecutar este comando, debe iniciar sesión como CU.     Sintaxis  

```
aws-cloudhsm > help key wrap rsa-pkcs
Usage: key wrap rsa-pkcs [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```   Ejemplo  En el ejemplo, se muestra cómo usar el comando **key wrap rsa-pkcs** mediante una clave pública RSA. 

**Example**  

```
aws-cloudhsm > key wrap rsa-pkcs --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000007008da",
    "wrapped_key_data": "am0Nc7+YE8FWs+5HvU7sIBcXVb24QA0l65nbNAD+1bK+e18BpSfnaI3P+r8Dp+pLu1ofoUy/vtzRjZoCiDofcz4EqCFnGl4GdcJ1/3W/5WRvMatCa2d7cx02swaeZcjKsermPXYRO1lGlfq6NskwMeeTkV8R7Rx9artFrs1y0DdIgIKVaiFHwnBIUMnlQrR2zRmMkfwU1jxMYmOYyD031F5VbnjSrhfMwkww2la7uf/c3XdFJ2+0Bo94c6og/yfPcpOOobJlITCoXhtMRepSdO4OggYq/6nUDuHCtJ86pPGnNahyr7+sAaSI3a5ECQLUjwaIARUCyoRh7EFK3qPXcg=="
  }
```   Argumentos   

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres. 

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí 

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no 

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí 

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1. 

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.    Temas relacionados    [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)   [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)    ](cloudhsm_cli-key-wrap-rsa-pkcs.md) | Empaqueta una clave de carga útil mediante una clave pública RSA en el HSM y el mecanismo de empaquetado RSA-PKCS. | CU | 
| [login](cloudhsm_cli-login.md) | Inicie sesión en su clúster. AWS CloudHSM  | Administrador, usuario de criptografía (CU) y usuario de dispositivos (AU) | 
| [logout](cloudhsm_cli-logout.md) | Cierre sesión en su AWS CloudHSM clúster. | Administrador, CU y usuario de dispositivos (AU) | 
| [quorum token-sign delete](cloudhsm_cli-qm-token-del.md) | Elimina uno o más tokens de un servicio autorizado de cuórum. | Administrador | 
| [quorum token-sign generate](cloudhsm_cli-qm-token-gen.md) | Genera un token para un servicio autorizado de cuórum. | Administrador | 
| [quorum token-sign list](cloudhsm_cli-qm-token-list.md) | Muestra todos los tokens de cuórum con firma de token presentes en el clúster de CloudHSM. | Todos [1](#cli-ref-1), incluidos los usuarios no autenticados. No es necesario iniciar sesión. | 
| [signo simbólico de quórum list-quorum-values](cloudhsm_cli-qm-token-list-qm.md) | Muestra los valores de quórum establecidos en el clúster de CloudHSM. | Todos [1](#cli-ref-1), incluidos los usuarios no autenticados. No es necesario iniciar sesión. | 
| [signo simbólico de quórum set-quorum-value](cloudhsm_cli-qm-token-set-qm.md) | Establece un nuevo valor de quorum para un servicio autorizado de cuórum. | Administrador | 
| [user change-mfa](cloudhsm_cli-user-change-mfa.md) | Cambia la estrategia de autenticación multifactor (MFA) de un usuario. | Administrador, CU | 
| [user change-password](cloudhsm_cli-user-change-password.md) | Cambia las contraseñas de los usuarios del. HSMs Cualquier usuario puede cambiar su propia contraseña. Los CO pueden cambiar la contraseña de cualquier persona. | Administrador, CU | 
| [user create](cloudhsm_cli-user-create.md) | Crea un usuario en el AWS CloudHSM clúster. | Administrador | 
| [user delete](cloudhsm_cli-user-delete.md) | Elimina un usuario del AWS CloudHSM clúster. | Administrador | 
| [user list](cloudhsm_cli-user-list.md) | Muestra los usuarios del AWS CloudHSM clúster. | Todos [1](#cli-ref-1), incluidos los usuarios no autenticados. No es necesario iniciar sesión. | 
| [user change-quorum token-sign register](cloudhsm_cli-user-chqm-token-reg.md) | Registra la estrategia de cuórum con firma de token para un usuario. | Administrador | 

**Annotations**
+ [1] Todos los usuarios incluyen todos los roles de la lista y los usuarios que no han iniciado sesión.

# La categoría del clúster en la CLI de CloudHSM
<a name="cloudhsm_cli-cluster"></a>

En la CLI de CloudHSM, **cluster** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crean un comando específico para los clústeres. Actualmente, la categoría de clúster consta de los siguientes comandos:

**Topics**
+ [activate](cloudhsm_cli-cluster-activate.md)
+ [hsm-info](cloudhsm_cli-cluster-hsm-info.md)
+ [mtls](cloudhsm_cli-cluster-mtls.md)

# Activación de un clúster con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-activate"></a>

Use el comando **cluster activate** en la CLI de CloudHSM para [activar un nuevo clúster](activate-cluster.md) en AWS CloudHSM. Este comando debe ejecutarse antes de usar el clúster para llevar a cabo operaciones criptográficas.

## Tipo de usuario
<a name="cluster-activate-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administrador desactivado

## Sintaxis
<a name="chsm-cli-cluster-activate-syntax"></a>

Este comando no tiene parámetros.

```
aws-cloudhsm > help cluster activate
Activate a cluster

This command will set the initial Admin password. This process will cause your CloudHSM cluster to
move into the ACTIVE state.

USAGE:
    cloudhsm-cli cluster activate [OPTIONS] [--password <PASSWORD>]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --password <PASSWORD>
          Optional: Plaintext activation password If you do not include this argument you will be prompted for it

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="chsm-cli-cluster-activate-examples"></a>

Este comando activa el clúster estableciendo la contraseña inicial de su usuario administrador.

```
aws-cloudhsm > cluster activate
Enter password:
Confirm password:
{
  "error_code": 0,
  "data": "Cluster activation successful"
}
```

## Temas relacionados
<a name="chsm-cluster-activate-seealso"></a>
+ [user create](cloudhsm_cli-user-create.md)
+ [user delete](cloudhsm_cli-user-delete.md)
+ [cambio de la contraseña de un usuario](cloudhsm_cli-user-change-password.md)

# Listar HSMs con CloudHSM CLI
<a name="cloudhsm_cli-cluster-hsm-info"></a>

Utilice el **cluster hsm-info** comando de la CLI de CloudHSM para enumerar los HSMs módulos de seguridad de hardware () AWS CloudHSM del clúster. No es necesario haber iniciado sesión en la CLI de CloudHSM para ejecutar este comando.

**nota**  
Si agrega o elimina HSMs, actualice los archivos de configuración que utilizan el AWS CloudHSM cliente y las herramientas de línea de comandos. De lo contrario, es posible que los cambios que realice no sean efectivos HSMs en todos los componentes del clúster.

## Tipo de usuario
<a name="chsm-cluster-hsm-info-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Todos los usuarios. No es preciso haber iniciado sesión para ejecutar este comando.

## Sintaxis
<a name="chsm-cluster-hsm-info-syntax"></a>

```
aws-cloudhsm > help cluster hsm-info
List info about each HSM in the cluster

Usage: cloudhsm-cli cluster hsm-info [OPTIONS]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="chsm-cluster-hsm-info-examples"></a>

Este comando muestra lo que HSMs hay en el AWS CloudHSM clúster.

```
aws-cloudhsm > cluster hsm-info
{
  "error_code": 0,
  "data": {
    "hsms": [
      {
        "vendor": "Marvell Semiconductors, Inc.",
        "model": "NITROX-III CNN35XX-NFBE",
        "serial-number": "5.3G1941-ICM000590",
        "hardware-version-major": "5",
        "hardware-version-minor": "3",
        "firmware-version-major": "2",
        "firmware-version-minor": "6",
        "firmware-build-number": "16",
        "firmware-id": "CNN35XX-NFBE-FW-2.06-16"
        "fips-state": "2 [FIPS mode with single factor authentication]"
      },
      {
        "vendor": "Marvell Semiconductors, Inc.",
        "model": "NITROX-III CNN35XX-NFBE",
        "serial-number": "5.3G1941-ICM000625",
        "hardware-version-major": "5",
        "hardware-version-minor": "3",
        "firmware-version-major": "2",
        "firmware-version-minor": "6",
        "firmware-build-number": "16",
        "firmware-id": "CNN35XX-NFBE-FW-2.06-16"
        "fips-state": "2 [FIPS mode with single factor authentication]"
      },
      {
        "vendor": "Marvell Semiconductors, Inc.",
        "model": "NITROX-III CNN35XX-NFBE",
        "serial-number": "5.3G1941-ICM000663",
        "hardware-version-major": "5",
        "hardware-version-minor": "3",
        "firmware-version-major": "2",
        "firmware-version-minor": "6",
        "firmware-build-number": "16",
        "firmware-id": "CNN35XX-NFBE-FW-2.06-16"
        "fips-state": "2 [FIPS mode with single factor authentication]"
      }
    ]
  }
}
```

La salida tiene los siguientes atributos:
+ **Proveedor**: el nombre del proveedor del HSM. 
+ **Modelo**: el número del modelo del HSM.
+ **Número de serie**: el número de serie del HSM. Esto puede cambiar debido a las sustituciones.
+ **H ardware-version-major**: La versión de hardware principal.
+ **H ardware-version-minor**: La versión de hardware secundaria.
+ **F irmware-version-major**: La versión principal del firmware.
+ **F irmware-version-minor**: La versión de firmware secundaria.
+ **F irmware-build-number**: El número de versión del firmware.
+ **Firmware-id**: el ID del firmware, que incluye las versiones principales y secundarias junto con la compilación.
+ **Estado FIPS**: el modo FIPS del clúster y el contenido en él. HSMs Si está en modo FIPS, el resultado es “2 [modo FIPS con autenticación de un solo factor]”. Si no está en modo FIPS, el resultado es “0 [modo no FIPS con autenticación de un solo factor]”.

## Temas relacionados
<a name="chsm-cluster-hsm-info-seealso"></a>
+ [Activación de un clúster con la CLI de CloudHSM](cloudhsm_cli-cluster-activate.md)

# La categoría mtls del clúster en la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls"></a>

En CloudHSM **cluster mtls** CLI, es una categoría principal para un grupo de comandos que, cuando se combinan con la categoría principal, crean un comando AWS CloudHSM específico para los clústeres. Actualmente, esta categoría consta de los siguientes comandos:

**Topics**
+ [deregister-trust-anchor](cloudhsm_cli-cluster-mtls-deregister-trust-anchor.md)
+ [get-enforcement](cloudhsm_cli-cluster-mtls-get-enforcement.md)
+ [list-trust-anchors](cloudhsm_cli-cluster-mtls-list-trust-anchors.md)
+ [register-trust-anchor](cloudhsm_cli-cluster-mtls-register-trust-anchor.md)
+ [set-enforcement](cloudhsm_cli-cluster-mtls-set-enforcement.md)

# Anulación del registro de un anclaje de veracidad con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls-deregister-trust-anchor"></a>

Use el comando **cluster mtls deregister-trust-anchor** en la CLI de CloudHSM para anular el registro de un anclaje de veracidad para el TLS mutuo entre el cliente y AWS CloudHSM.

## Tipo de usuario
<a name="cluster-mtls-deregister-trust-anchor-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Requisitos
<a name="cluster-mtls-deregister-trust-anchor-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como usuario administrador.

## Sintaxis
<a name="cluster-mtls-deregister-trust-anchor-syntax"></a>

```
aws-cloudhsm > help cluster mtls deregister-trust-anchor
            
Deregister a trust anchor for mtls

Usage: cluster mtls deregister-trust-anchor [OPTIONS] --certificate-reference [<CERTIFICATE_REFERENCE>...]

Options:
      --certificate-reference <CERTIFICATE_REFERENCE>  A hexadecimal or decimal certificate reference
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --approval <APPROVAL>  Filepath of signed quorum token file to approve operation
  -h, --help                     Print help
```

## Ejemplo
<a name="cluster-mtls-deregister-trust-anchor-examples"></a>

**Example**  
En el siguiente ejemplo, este comando elimina un anclaje de veracidad del HSM.  

```
aws-cloudhsm > cluster mtls deregister-trust-anchor --certificate-reference 0x01
                
{
  "error_code": 0,
  "data": {
    "message": "Trust anchor with reference 0x01 deregistered successfully"
  }
}
```
A continuación, puede ejecutar el comando **list-trust-anchors** para confirmar que se ha dado de baja el anclaje de veracidad del AWS CloudHSM:  

```
aws-cloudhsm > cluster mtls list-trust-anchors
                
{
  "error_code": 0,
  "data": {
    "trust_anchors": []
  }
}
```

## Argumentos
<a name="cluster-mtls-deregister-trust-anchor-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

** *<CERTIFICATE\$1REFERENCE>* **  
Una referencia de certificado hexadecimal o decimal.  
 **Obligatorio**: sí  
Tras anular el registro de un anclaje de veracidad en el clúster, se eliminarán todas las conexiones mTLS existentes que utilicen el certificado de cliente firmado por ese anclaje de veracidad.

** *<APPROVAL>* **  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de clúster de cuórum es superior a 1.

## Temas relacionados
<a name="cluster-mtls-deregister-trust-anchor-seealso"></a>
+  [clúster mtls reregister-trust-anchor](cloudhsm_cli-cluster-mtls-register-trust-anchor.md) 
+  [clúster mtls list-trust-anchors](cloudhsm_cli-cluster-mtls-list-trust-anchors.md) 
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# Obtención del nivel de cumplimiento de mTLS con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls-get-enforcement"></a>

Use el comando **cluster mtls get-enforcement** en la CLI de CloudHSM para obtener el nivel de cumplimiento del uso de TLS mutuo entre el cliente y AWS CloudHSM.

## Tipo de usuario
<a name="cluster-mtls-get-enforcement-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cluster-mtls-get-enforcement-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como usuario administrador o usuario criptográfico (CUs).

## Sintaxis
<a name="cluster-mtls-get-enforcement-syntax"></a>

```
aws-cloudhsm > help cluster mtls get-enforcement
            
Get the status of mtls enforcement in the cluster

Usage: cluster mtls get-enforcement [OPTIONS]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="cluster-mtls-get-enforcement-examples"></a>

**Example**  
En el siguiente ejemplo, este comando muestra el nivel de cumplimiento de mtls del AWS CloudHSM.  

```
aws-cloudhsm > cluster mtls get-enforcement
                
{
  "error_code": 0,
  "data": {
    "mtls-enforcement-level": "none"
  }
}
```

## Argumentos
<a name="cluster-mtls-get-enforcement-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

## Temas relacionados
<a name="cluster-mtls-get-enforcement-seealso"></a>
+  [cluster mtls set-enforcement](cloudhsm_cli-cluster-mtls-set-enforcement.md) 
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# Enumere los anclajes de veracidad con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls-list-trust-anchors"></a>

Use el comando **cluster mtls list-trust-anchors** en la CLI de CloudHSM para enumerar todos los anclajes de veracidad que se pueden usar para TLS mutua entre el cliente y el AWS CloudHSM.

## Tipo de usuario
<a name="cluster-mtls-list-trust-anchors-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Todos los usuarios. No es preciso haber iniciado sesión para ejecutar este comando.

## Sintaxis
<a name="cluster-mtls-list-trust-anchors-syntax"></a>

```
aws-cloudhsm > help cluster mtls list-trust-anchors
            
List all trust anchors for mtls

Usage: cluster mtls list-trust-anchors [OPTIONS]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="cluster-mtls-list-trust-anchors-examples"></a>

**Example**  
En el siguiente ejemplo, este comando enumera todos los anclajes de veracidad registrados de AWS CloudHSM.  

```
aws-cloudhsm > cluster mtls list-trust-anchors
                
{
  "error_code": 0,
  "data": {
    "trust_anchors": [
      {
        "certificate-reference": "0x01",
        "certificate": "<PEM Encoded Certificate 1>",
        "cluster-coverage": "full"
      },
      {
        "certificate-reference": "0x02",
        "certificate": "<PEM Encoded Certificate 2>",
        "cluster-coverage": "full"
      }
    ]
  }
}
```

## Argumentos
<a name="cluster-mtls-list-trust-anchors-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

## Temas relacionados
<a name="cluster-mtls-register-trust-anchor-seealso"></a>
+  [clúster mtls reregister-trust-anchor](cloudhsm_cli-cluster-mtls-register-trust-anchor.md) 
+  [clúster mtls deregister-trust-anchor](cloudhsm_cli-cluster-mtls-deregister-trust-anchor.md) 
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# Registrar un anclaje de veracidad con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls-register-trust-anchor"></a>

Use el comando **cluster mtls register-trust-anchor** en la CLI de CloudHSM para registrar un anclaje de veracidad para TLS mutua entre el cliente y el AWS CloudHSM.

## Tipo de usuario
<a name="cluster-mtls-register-trust-anchor-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Requisitos
<a name="cluster-mtls-register-trust-anchor-requirements"></a>

 AWS CloudHSM Acepta anclajes de confianza con los siguientes tipos de clave:


****  

| Tipo de clave | Description (Descripción) | 
| --- | --- | 
| EC |  curvas secp256r1 (P-256), secp384r1 (P-384) y secp521r1 (P-521).  | 
| RSA |  claves RSA de 2048, 3072 y 4096 bits.  | 

## Sintaxis
<a name="cluster-mtls-register-trust-anchor-syntax"></a>

```
aws-cloudhsm > help cluster mtls register-trust-anchor
            
Register a trust anchor for mtls

Usage: cluster mtls register-trust-anchor [OPTIONS] --path [<PATH>...]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --path <PATH>  Filepath of the trust anchor to register
      --approval <APPROVAL>  Filepath of signed quorum token file to approve operation
  -h, --help                     Print help
```

## Ejemplo
<a name="cluster-mtls-register-trust-anchor-examples"></a>

**Example**  
En el siguiente ejemplo, este comando registra un anclaje de veracidad en el HSM. El número máximo de anclajes de veracidad que se puede registrar es dos (2).  

```
aws-cloudhsm > cluster mtls register-trust-anchor --path /home/rootCA
                
{
  "error_code": 0,
  "data": {
    "trust_anchor": {
      "certificate-reference": "0x01",
      "certificate": "<PEM Encoded Certificate>",
      "cluster-coverage": "full"
    }
  }
}
```
A continuación, puede ejecutar el comando **list-trust-anchors** para confirmar que se ha registrado el anclaje de veracidad en el AWS CloudHSM:  

```
aws-cloudhsm > cluster mtls list-trust-anchors
                
{
  "error_code": 0,
  "data": {
    "trust_anchors": [
      {
        "certificate-reference": "0x01",
        "certificate": "<PEM Encoded Certificate>",
        "cluster-coverage": "full"
      }
    ]
  }
}
```

## Argumentos
<a name="cluster-mtls-register-trust-anchor-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

** *<PATH>* **  
Ruta de archivo del anclaje de veracidad que se va a registrar.  
 **Obligatorio**: sí  
AWS CloudHSM admite el registro de certificados intermedios como ancla de confianza. En esos casos, todo el archivo de cadena de certificados codificados en PEM debe registrarse en el HSM junto con los certificados en orden jerárquico.   
 AWS CloudHSM admite una cadena de certificados de 6980 bytes.

** *<APPROVAL>* **  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de clúster de cuórum es superior a 1.

## Temas relacionados
<a name="cluster-mtls-register-trust-anchor-seealso"></a>
+  [clúster mtls deregister-trust-anchor](cloudhsm_cli-cluster-mtls-deregister-trust-anchor.md) 
+  [clúster mtls list-trust-anchors](cloudhsm_cli-cluster-mtls-list-trust-anchors.md) 
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# Establecer el nivel de cumplimiento de mTLS con la CLI de CloudHSM
<a name="cloudhsm_cli-cluster-mtls-set-enforcement"></a>

Use el comando **cluster mtls set-enforcement** en la CLI de CloudHSM para establecer el nivel de cumplimiento del uso de TLS mutuo entre el cliente y AWS CloudHSM.

## Tipo de usuario
<a name="cluster-mtls-set-enforcement-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador con nombre de usuario como administrador

## Requisitos
<a name="cluster-mtls-set-enforcement-requirements"></a>

para ejecutar este comando:
+ Al menos un anclaje de veracidad se ha registrado correctamente en el AWS CloudHSM.
+ Configure la CLI de CloudHSM con la clave privada y el certificado de cliente correctos, e inicie la CLI de CloudHSM bajo una conexión de TLS mutuo.
+ Debe iniciar sesión como administrador predeterminado con el nombre de usuario “admin”. Ningún otro usuario administrador podrá ejecutar este comando.

## Sintaxis
<a name="cluster-mtls-set-enforcement-syntax"></a>

```
aws-cloudhsm > help cluster mtls set-enforcement
            
Set mtls enforcement policy in the cluster

Usage: cluster mtls set-enforcement [OPTIONS] --level [<LEVEL>...]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --level <LEVEL>  Level to be set for mtls in the cluster [possible values: none, cluster]
      --approval <APPROVAL>  Filepath of signed quorum token file to approve operation
  -h, --help                     Print help
```

## Ejemplo
<a name="cluster-mtls-set-enforcement-examples"></a>

**Example**  
En el siguiente ejemplo, este comando establece el nivel de aplicación mtls del AWS CloudHSM clúster futuro. El comando set-enforcement solo se puede ejecutar en una conexión TLS mutua y se puede iniciar sesión como usuario administrador con el nombre de usuario admin, consulte [establecer el cumplimiento de mTLS para el AWS CloudHSM](getting-started-setup-mtls.md#getting-start-setup-mtls-enforcement).  

```
aws-cloudhsm > cluster mtls set-enforcement --level cluster
                
{
  "error_code": 0,
  "data": {
    "message": "Mtls enforcement level set to Cluster successfully"
  }
}
```
A continuación, puede ejecutar el comando **get-enforcement** para confirmar que el nivel de cumplimiento se ha establecido en clúster:  

```
aws-cloudhsm > cluster mtls get-enforcement
                
{
  "error_code": 0,
  "data": {
    "mtls-enforcement-level": "cluster"
  }
}
```

## Argumentos
<a name="cluster-mtls-set-enforcement-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

** *<LEVEL>* **  
Se debe establecer el nivel para los mtls del clúster.   
 **Valores válidos**   
+  **clúster**: impone el uso de TLS mutuo entre el cliente y AWS CloudHSM el clúster.
+  **ninguno**: no exija el uso de TLS mutuo entre el cliente y AWS CloudHSM el clúster.
 **Obligatorio**: sí  
Después de aplicar el uso de mTLS en el clúster, se eliminarán todas las conexiones no mTLS existentes y solo podrá conectarse al clúster con certificados mTLS.

** *<APPROVAL>* **  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de clúster de cuórum es superior a 1.

## Temas relacionados
<a name="cluster-mtls-set-enforcement-seealso"></a>
+  [cluster mtls get-enforcement](cloudhsm_cli-cluster-mtls-get-enforcement.md) 
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# La categoría criptográfica en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto"></a>

En la CLI de CloudHSM, **crypto** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crea un comando específico para operaciones criptográficas. Actualmente, esta categoría consta de los siguientes comandos: 
+ [sign](cloudhsm_cli-crypto-sign.md)
  + [ecdsa](cloudhsm_cli-crypto-sign-ecdsa.md)
  + [ed25519ph](cloudhsm_cli-crypto-sign-ed25519ph.md)
  + [rsa-pkcs](cloudhsm_cli-crypto-sign-rsa-pkcs.md)
  + [rsa-pkcs-pss](cloudhsm_cli-crypto-sign-rsa-pkcs-pss.md)
+ [verificar](cloudhsm_cli-crypto-verify.md)
  + [ecdsa](cloudhsm_cli-crypto-verify-ecdsa.md)
  + [ed25519ph](cloudhsm_cli-crypto-verify-ed25519ph.md)
  + [rsa-pkcs](cloudhsm_cli-crypto-verify-rsa-pkcs.md)
  + [rsa-pkcs-pss](cloudhsm_cli-crypto-verify-rsa-pkcs-pss.md)

# La categoría de firma criptográfica en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-sign"></a>

En la CLI de CloudHSM, **crypto sign** es una categoría principal para un grupo de comandos que, cuando se combinan con la categoría principal, usan una clave privada elegida en el clúster de su AWS CloudHSM para generar una firma. **crypto sign** tiene los siguientes subcomandos:
+ [Genere una firma con el mecanismo ECDSA en la CLI de CloudHSM](cloudhsm_cli-crypto-sign-ecdsa.md)
+ [Genere una firma con el mecanismo HashEd DSA en CloudHSM CLI](cloudhsm_cli-crypto-sign-ed25519ph.md)
+ [Genere una firma con el mecanismo RSA-PKCS en la CLI de CloudHSM](cloudhsm_cli-crypto-sign-rsa-pkcs.md)
+ [Genere una firma con el RSA-PKCS-PSS mecanismo de CloudHSM CLI](cloudhsm_cli-crypto-sign-rsa-pkcs-pss.md)

Para usar **crypto sign**, primero debe tener una clave privada en si HSM. Puede generar una clave privada con los siguientes comandos:
+ [clave, generate-asymmetric-pair etc.](cloudhsm_cli-key-generate-asymmetric-pair-ec.md)
+ [clave generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md)

# Genere una firma con el mecanismo ECDSA en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-sign-ecdsa"></a>

Use el comando **crypto sign ecdsa** en la CLI de CloudHSM para generar una firma mediante una clave privada EC y el mecanismo de firma ECDSA. 

Para usar el **crypto sign ecdsa** comando, primero debe tener una clave privada EC en su AWS CloudHSM clúster. Puede generar una clave privada EC mediante el comando [Generación de un par de claves EC asimétricas con la CLI de CloudHSM](cloudhsm_cli-key-generate-asymmetric-pair-ec.md) con el atributo `sign` establecido en `true`.

La firma ECDSA resultante se genera en el formato `r||s` en el que los componentes r y s se concatenan como datos binarios sin procesar y se devuelven en formato codificado en base64.

**nota**  
Las firmas se pueden verificar con subcomandos. AWS CloudHSM [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

## Tipo de usuario
<a name="cloudhsm_cli-crypto-sign-ecdsa-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-sign-ecdsa-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-sign-ecdsa-syntax"></a>

```
aws-cloudhsm > help crypto sign ecdsa
Sign with the ECDSA mechanism

Usage: crypto sign ecdsa --key-filter [<KEY_FILTER>>...] --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be signed
      --data <DATA>
          Base64 Encoded data to be signed
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-sign-ecdsa-examples"></a>

En estos ejemplos, se muestra cómo usar **crypto sign ecdsa** para generar una firma mediante el mecanismo de firma ECDSA y la función hash `SHA256`. Este comando usa una clave privada en el HSM.

**Example Ejemplo: generar una firma para los datos codificados en base 64**  

```
aws-cloudhsm > crypto sign ecdsa --key-filter attr.label=ec-private --hash-function sha256 --data YWJjMTIz
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007808dd",
    "signature": "4zki+FzjhP7Z/KqoQvh4ueMAxQQVp7FQguZ2wOS3Q5bzk+Hc5irV5iTkuxQbropPttVFZ8V6FgR2fz+sPegwCw=="
  }
}
```

**Example Ejemplo: generar una firma para un archivo de datos**  

```
aws-cloudhsm > crypto sign ecdsa --key-filter attr.label=ec-private --hash-function sha256 --data-path data.txt
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007808dd",
    "signature": "4zki+FzjhP7Z/KqoQvh4ueMAxQQVp7FQguZ2wOS3Q5bzk+Hc5irV5iTkuxQbropPttVFZ8V6FgR2fz+sPegwCw=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-sign-ecdsa-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos de clave separados por espacios, con el formato attr.KEY\$1ATTRIBUTE\$1NAME=KEY\$1ATTRIBUTE\$1VALUE, para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de uso de claves de la clave privada es mayor que 1.

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-sign-ecdsa-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Genere una firma con el mecanismo HashEd DSA en CloudHSM CLI
<a name="cloudhsm_cli-crypto-sign-ed25519ph"></a>

**importante**  
HashEdLas operaciones de firma de DSA solo se admiten en las instancias hsm2m.medium en modo que no sea FIPS.

Utilice el **crypto sign ed25519ph** comando de la CLI de CloudHSM para generar una firma mediante una clave HashEd privada Ed25519 y el mecanismo de firma DSA. Para obtener información adicional sobre la HashEd DSA, consulte la sección 7.8 del [NIST](https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-5.pdf) SP 186-5.

Para usar el **crypto sign ed25519ph** comando, primero debe tener una clave privada Ed25519 en su clúster. AWS CloudHSM Puede generar una clave privada Ed25519 mediante el [Generación de un par de claves EC asimétricas con la CLI de CloudHSM](cloudhsm_cli-key-generate-asymmetric-pair-ec.md) comando con el `curve` parámetro establecido en `ed25519` y el `sign` atributo establecido en. `true`

**nota**  
Las firmas se pueden verificar AWS CloudHSM con [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md) subcomandos.

## Tipo de usuario
<a name="cloudhsm_cli-crypto-sign-ed25519ph-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-sign-ed25519ph-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.
+ HashEdLas operaciones de firma de DSA solo se admiten en las instancias hsm2m.medium en modo que no sea FIPS.

## Sintaxis
<a name="cloudhsm_cli-crypto-sign-ed25519ph-syntax"></a>

```
aws-cloudhsm > help crypto sign ed25519ph
Sign with the Ed25519ph mechanism

Usage: crypto sign ed25519ph [OPTIONS] --key-filter [<KEY_FILTER>...] --data-type <DATA_TYPE> --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --data-path <DATA_PATH>
          The path to the file containing the data to be signed
      --data <DATA>
          Base64 Encoded data to be signed
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
      --hash-function <HASH_FUNCTION>
          Hash function [possible values: sha512]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-sign-ed25519ph-examples"></a>

Estos ejemplos muestran cómo generar una firma mediante el mecanismo de firma **crypto sign ed25519ph** ED25519ph y la función hash. `sha512` Este comando usa una clave privada en el HSM.

**Example Ejemplo: generar una firma para los datos codificados en base 64**  

```
aws-cloudhsm > crypto sign ed25519ph \
    --key-filter attr.label=ed25519-private \
    --data-type raw \
    --hash-function sha512 \
    --data YWJj
{
  "error_code": 0,
  "data": {
    "key-reference": "0x0000000000401cdf",
    "signature": "mKcCIvC4Ehqp0w+BPWg/gJ5GK0acf/h2OUmbuU5trkEx+FBCRjwqNVogA9BirfWqoQuMYeY2Biqq0RwqJgg0Bg=="
  }
}
```

**Example Ejemplo: generar una firma para un archivo de datos**  

```
aws-cloudhsm > crypto sign ed25519ph \
    --key-filter attr.label=ed25519-private \
    --data-type raw \
    --hash-function sha512 \
    --data-path data.txt
{
  "error_code": 0,
  "data": {
    "key-reference": "0x0000000000401cdf",
    "signature": "mKcCIvC4Ehqp0w+BPWg/gJ5GK0acf/h2OUmbuU5trkEx+FBCRjwqNVogA9BirfWqoQuMYeY2Biqq0RwqJgg0Bg=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-sign-ed25519ph-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione a través del parámetro de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash. Solo es compatible con ED25519ph. SHA512   
Valores válidos:  
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos de clave separados por espacios, con el formato attr.KEY\$1ATTRIBUTE\$1NAME=KEY\$1ATTRIBUTE\$1VALUE, para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte. [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de uso de claves de la clave privada es mayor que 1.

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen
Obligatorio: sí

## Temas relacionados
<a name="cloudhsm_cli-crypto-sign-ed25519ph-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Genere una firma con el mecanismo RSA-PKCS en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs"></a>

Use el comando **crypto sign rsa-pkcs** en la CLI de CloudHSM para generar una firma mediante una clave privada RSA y el mecanismo de firma RSA-PKCS.

Para usar el **crypto sign rsa-pkcs** comando, primero debe tener una clave privada RSA en el AWS CloudHSM clúster. Puede generar una clave privada RSA mediante el comando [Generación de un par de claves RSA asimétricas con la CLI de CloudHSM](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md) con el atributo `sign` establecido en `true`.

**nota**  
Las firmas se pueden verificar AWS CloudHSM con [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md) subcomandos.

## Tipo de usuario
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help crypto sign rsa-pkcs
Sign with the RSA-PKCS mechanism

Usage: crypto sign rsa-pkcs --key-filter [<KEY_FILTER>>...] --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be signed
      --data <DATA>
          Base64 Encoded data to be signed
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-examples"></a>

En estos ejemplos, se muestra cómo usar **crypto sign rsa-pkcs** para generar una firma mediante el mecanismo de firma RSA-PKCS y la función hash `SHA256`. Este comando usa una clave privada en el HSM.

**Example Ejemplo: generar una firma para los datos codificados en base 64**  

```
aws-cloudhsm > crypto sign rsa-pkcs --key-filter attr.label=rsa-private --hash-function sha256 --data YWJjMTIz
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "XJ7mRyHnDRYrDWTQuuNb+5mhoXx7VTsPMjgOQW4iMN7E42eNHj2Q0oovMmBdHUEH0F4HYG8FBJOBhvGuM8J/z6y41GbowVpUT6WzjnIQs79K9i7i6oR1TYjLnIS3r/zkimuXcS8/ZxyDzru+GO9BUT9FFU/of9cvu4Oyn6a5+IXuCbKNQs19uASuFARUTZ0a0Ny1CB1MulxUpqGTmI91J6evlP7k/2khwDmJ5E8FEar5/Cvbn9t21p3Uj561ngTXrYbIZ2KHpef9jQh/cEIvFLG61sexJjQi8EdTxeDA+I3ITO0qrvvESvA9+Sj7kdG2ceIicFS8/8LwyxiIC31UHQ=="
  }
}
```

**Example Ejemplo: generar una firma para un archivo de datos**  

```
aws-cloudhsm > crypto sign rsa-pkcs --key-filter attr.label=rsa-private --hash-function sha256 --data-path data.txt
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "XJ7mRyHnDRYrDWTQuuNb+5mhoXx7VTsPMjgOQW4iMN7E42eNHj2Q0oovMmBdHUEH0F4HYG8FBJOBhvGuM8J/z6y41GbowVpUT6WzjnIQs79K9i7i6oR1TYjLnIS3r/zkimuXcS8/ZxyDzru+GO9BUT9FFU/of9cvu4Oyn6a5+IXuCbKNQs19uASuFARUTZ0a0Ny1CB1MulxUpqGTmI91J6evlP7k/2khwDmJ5E8FEar5/Cvbn9t21p3Uj561ngTXrYbIZ2KHpef9jQh/cEIvFLG61sexJjQi8EdTxeDA+I3ITO0qrvvESvA9+Sj7kdG2ceIicFS8/8LwyxiIC31UHQ=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione mediantes datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de uso de claves de la clave privada es mayor que 1.

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
En el caso de RSA-PKCS, los datos se deben pasar en formato codificado DER, según se especifica en la [Sección 9.2 del RFC 8017.](https://www.rfc-editor.org/rfc/rfc8017#section-9.2)  
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Genere una firma con el RSA-PKCS-PSS mecanismo de CloudHSM CLI
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-pss"></a>

Use el comando **crypto sign rsa-pkcs-pss** en la CLI de CloudHSM para generar una firma mediante una clave privada RSA y el mecanismo de firma `RSA-PKCS-PSS`.

Para usar el **crypto sign rsa-pkcs-pss** comando, primero debe tener una clave privada RSA en su clúster. AWS CloudHSM Puede generar una clave privada RSA mediante el comando [Generación de un par de claves RSA asimétricas con la CLI de CloudHSM](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md) con el atributo `sign` establecido en `true`.

**nota**  
Las firmas se pueden verificar AWS CloudHSM con [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md) subcomandos.

## Tipo de usuario
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help crypto sign rsa-pkcs-pss
Sign with the RSA-PKCS-PSS mechanism

Usage: crypto sign rsa-pkcs-pss [OPTIONS] --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --salt-length <SALT_LENGTH> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>        Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]   Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>  [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>          The path to the file containing the data to be signed
      --data <DATA>                    Base64 Encoded data to be signed
      --mgf <MGF>                      The mask generation function [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --salt-length <SALT_LENGTH>      The salt length
      --approval <APPROVAL>            Filepath of signed quorum token file to approve operation
      --data-type <DATA_TYPE>          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help                           Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-examples"></a>

En estos ejemplos, se muestra cómo usar **crypto sign rsa-pkcs-pss** para generar una firma mediante el mecanismo de firma `RSA-PKCS-PSS` y la función hash `SHA256`. Este comando usa una clave privada en el HSM.

**Example Ejemplo: generar una firma para los datos codificados en base 64**  

```
aws-cloudhsm > crypto sign rsa-pkcs-pss --key-filter attr.label=rsa-private --hash-function sha256 --data YWJjMTIz --salt-length 10 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}
```

**Example Ejemplo: generar una firma para un archivo de datos**  

```
aws-cloudhsm > crypto sign rsa-pkcs-pss --key-filter attr.label=rsa-private --hash-function sha256 --data-path data.txt --salt-length 10 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione mediantes datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<MGF>***  
Especifica la función de generación de máscaras.  
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<SALT\$1LENGTH>***  
Especifica la longitud de sal.  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de uso de claves de la clave privada es mayor que 1.

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-sign-rsa-pkcs-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

## Temas relacionados
<a name="cloudhsm_cli-crypto-sign-seealso"></a>
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# La categoría de verificación criptográfica en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-verify"></a>

En la CLI de CloudHSM, **crypto verify** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, confirma si un archivo se ha firmado con una clave determinada. **crypto verify** tiene los siguientes subcomandos: 
+ [crypto verify ecdsa](cloudhsm_cli-crypto-verify-ecdsa.md)
+ [verificación criptográfica ed25519.ph](cloudhsm_cli-crypto-verify-ed25519ph.md)
+ [crypto verify rsa-pkcs](cloudhsm_cli-crypto-verify-rsa-pkcs.md)
+ [verificación criptográfica rsa-pkcs-pss](cloudhsm_cli-crypto-verify-rsa-pkcs-pss.md)

El comando **crypto verify** compara un archivo firmado con un archivo de origen y analiza si están relacionados criptográficamente en función de una clave pública y un mecanismo de firma determinados.

**nota**  
Se puede iniciar sesión en los archivos AWS CloudHSM con la [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md) operación.

# Verifique una firma que se hizo con el mecanismo ECDSA en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-verify-ecdsa"></a>

Use el comando **crypto verify ecdsa** de la CLI de CloudHSM para realizar las siguientes operaciones:
+ Confirme que un archivo se haya firmado en el HSM con una clave pública determinada.
+ Verifique que la firma se haya generado mediante el mecanismo de firma ECDSA.
+ Compare un archivo firmado con un archivo de origen y determine si los dos están relacionados criptográficamente en función de una clave pública ecdsa y un mecanismo de firma determinados. 
+  La función de verificación del ECDSA espera la firma en el formato `r||s` en el que los componentes r y s se concatenan como datos binarios sin procesar. 

Para usar el **crypto verify ecdsa** comando, primero debe tener una clave pública EC en su clúster. AWS CloudHSM Puede importar una clave pública EC mediante el comando [Importación de una clave en formato PEM con la CLI de CloudHSM](cloudhsm_cli-key-import-pem.md) con el atributo `verify` establecido en `true`.

**nota**  
Puede generar una firma en la CLI de CloudHSM con subcomandos [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md).

## Tipo de usuario
<a name="cloudhsm_cli-crypto-verify-ecdsa-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos (CUs)

## Requisitos
<a name="cloudhsm_cli-crypto-verify-ecdsa-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-verify-ecdsa-syntax"></a>

```
aws-cloudhsm > help crypto verify ecdsa
Verify with the ECDSA mechanism

Usage: crypto verify ecdsa --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>> <--signature-path <SIGNATURE_PATH>|--signature <SIGNATURE>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be verified
      --data <DATA>
          Base64 encoded data to be verified
      --signature-path <SIGNATURE_PATH>
          The path to where the signature is located
      --signature <SIGNATURE>
          Base64 encoded signature to be verified
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-verify-ecdsa-examples"></a>

En estos ejemplos, se muestra cómo usar **crypto verify ecdsa** para verificar que una firma se haya generado mediante el mecanismo de firma ECDSA y la función hash `SHA256`. Este comando usa una clave pública en el HSM.

**Example Ejemplo: verifique una firma codificada en Base64 con datos codificados en Base64**  

```
aws-cloudhsm > crypto verify ecdsa --hash-function sha256 --key-filter attr.label=ec-public --data YWJjMTIz --signature 4zki+FzjhP7Z/KqoQvh4ueMAxQQVp7FQguZ2wOS3Q5bzk+Hc5irV5iTkuxQbropPttVFZ8V6FgR2fz+sPegwCw==
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: verifique un archivo de firma con un archivo de datos**  

```
aws-cloudhsm > crypto verify ecdsa --hash-function sha256 --key-filter attr.label=ec-public --data-path data.txt --signature-path signature-file
{
   "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: demostrar una relación de firma falsa**  
Este comando comprueba si los datos ubicados en `/home/data` se firmaron mediante una clave pública con la etiqueta `ecdsa-public` usando el mecanismo de firma ECDSA para generar la firma ubicada en `/home/signature`. Dado que los argumentos especificados no constituyen una relación de firma verdadera, el comando devuelve un mensaje de error.  

```
aws-cloudhsm > crypto verify ecdsa --hash-function sha256 --key-filter attr.label=ec-public --data aW52YWxpZA== --signature +ogk7M7S3iTqFg3SndJfd91dZFr5Qo6YixJl8JwcvqqVgsVuO6o+VKvTRjz0/V05kf3JJbBLr87Q+wLWcMAJfA==
{
  "error_code": 1,
  "data": "Signature verification failed"
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-verify-ecdsa-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<SIGNATURE>***  
Firma codificada en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<SIGNATURE\$1PATH>***  
Especifica la ubicación de la firma.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-verify-ecdsa-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Verificar una firma firmada con el mecanismo HashEd DSA en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-verify-ed25519ph"></a>

**importante**  
HashEdLas operaciones de verificación de firmas del DSA solo se admiten en las instancias hsm2m.medium en modo que no sea FIPS.

Use el comando **crypto verify ed25519ph** de la CLI de CloudHSM para realizar las siguientes operaciones:
+ Verifique las firmas de los datos o archivos con una clave pública Ed25519 determinada.
+ Confirme que la firma se generó mediante el mecanismo de firma de la HashEd DSA. Para obtener información adicional sobre la HashEd DSA, consulte la sección 7.8 del [NIST SP 186-5](https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-5.pdf).

Para usar el **crypto verify ed25519ph** comando, primero debe tener una clave pública Ed25519 en su clúster. AWS CloudHSM Puede generar un par de claves Ed25519 mediante el [Generación de un par de claves EC asimétricas con la CLI de CloudHSM](cloudhsm_cli-key-generate-asymmetric-pair-ec.md) comando con el `curve` parámetro establecido en `ed25519` y el `verify` atributo establecido en`true`, o importar una clave pública Ed25519 mediante el [Importación de una clave en formato PEM con la CLI de CloudHSM](cloudhsm_cli-key-import-pem.md) comando con el `verify` atributo establecido en. `true`

**nota**  
Puede generar una firma en la CLI de CloudHSM con subcomandos [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md).

## Tipo de usuario
<a name="cloudhsm_cli-crypto-verify-ed25519ph-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-verify-ed25519ph-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.
+ HashEdLas operaciones de verificación de firmas de DSA solo se admiten en las instancias hsm2m.medium en modo que no sea FIPS.

## Sintaxis
<a name="cloudhsm_cli-crypto-verify-ed25519ph-syntax"></a>

```
aws-cloudhsm > help crypto verify ed25519ph
Verify with the Ed25519ph mechanism

Usage: crypto verify ed25519ph [OPTIONS] --key-filter [<KEY_FILTER>...] --data-type <DATA_TYPE> --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>> <--signature-path <SIGNATURE_PATH>|--signature <SIGNATURE>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --data-path <DATA_PATH>
          The path to the file containing the data to be verified
      --data <DATA>
          Base64 encoded data to be verified
      --signature-path <SIGNATURE_PATH>
          The path to where the signature is located
      --signature <SIGNATURE>
          Base64 encoded signature to be verified
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
      --hash-function <HASH_FUNCTION>
          Hash function [possible values: sha512]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-verify-ed25519ph-examples"></a>

Estos ejemplos muestran cómo verificar una firma que se generó **crypto verify ed25519ph** mediante el mecanismo de firma ED25519ph y la función hash. `sha512` Este comando usa una clave pública Ed25519 en el HSM.

**Example Ejemplo: verifique una firma codificada en Base64 con datos codificados en Base64**  

```
aws-cloudhsm > crypto verify ed25519ph \
    --hash-function sha512 \
    --key-filter attr.label=ed25519-public \
    --data-type raw \
    --data YWJj \
    --signature mKcCIvC4Ehqp0w+BPWg/gJ5GK0acf/h2OUmbuU5trkEx+FBCRjwqNVogA9BirfWqoQuMYeY2Biqq0RwqJgg0Bg==
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: verifique un archivo de firma con un archivo de datos**  

```
aws-cloudhsm > crypto verify ed25519ph \
    --hash-function sha512 \
    --key-filter attr.label=ed25519-public \
    --data-type raw \
    --data-path data.txt \
    --signature-path signature-file
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-verify-ed25519ph-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 que se van a verificar.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se van a verificar.  
Obligatorio: Sí (a menos que se proporcione a través del parámetro de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash. Solo es compatible con ED25519ph. SHA512   
Valores válidos:  
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte. [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: sí

***<SIGNATURE>***  
Firma codificada en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<SIGNATURE\$1PATH>***  
Especifica la ubicación de la firma.  
Obligatorio: Sí (a menos que se proporcione a través del parámetro de firma)

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe codificarse como parte del algoritmo de verificación. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen
Obligatorio: sí

## Temas relacionados
<a name="cloudhsm_cli-crypto-verify-ed25519ph-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)
+ [Genere una firma con el mecanismo HashEd DSA en CloudHSM CLI](cloudhsm_cli-crypto-sign-ed25519ph.md)

# Verifique una firma que se hizo con el mecanismo RSA-PKCS en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs"></a>

Use el comando **crypto verify rsa-pkcs** de la CLI de CloudHSM para realizar las siguientes operaciones:
+ Confirme que un archivo se haya firmado en el HSM con una clave pública determinada.
+ Verifique que la firma se haya generado mediante el mecanismo de firma `RSA-PKCS`.
+ Compare un archivo firmado con un archivo de origen y determine si los dos están relacionados criptográficamente en función de una clave pública rsa y un mecanismo de firma determinados.

Para usar el **crypto verify rsa-pkcs** comando, primero debe tener una clave pública RSA en su AWS CloudHSM clúster.

**nota**  
Puede generar una firma usando la CLI de CloudHSM con los subcomandos [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md).

## Tipo de usuario
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help crypto verify rsa-pkcs
Verify with the RSA-PKCS mechanism

Usage: crypto verify rsa-pkcs --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> <--data-path <DATA_PATH>|--data <DATA>> <--signature-path <SIGNATURE_PATH>|--signature <SIGNATURE>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be verified
      --data <DATA>
          Base64 encoded data to be verified
      --signature-path <SIGNATURE_PATH>
          The path to where the signature is located
      --signature <SIGNATURE>
          Base64 encoded signature to be verified
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-examples"></a>

En estos ejemplos, se muestra cómo usar **crypto verify rsa-pkcs** para verificar una firma que se haya generado mediante el mecanismo de firma RSA-PKCS y la función hash `SHA256`. Este comando usa una clave pública en el HSM.

**Example Ejemplo: verifique una firma codificada en Base64 con datos codificados en Base64**  

```
aws-cloudhsm > crypto verify rsa-pkcs --hash-function sha256 --key-filter attr.label=rsa-public --data YWJjMTIz --signature XJ7mRyHnDRYrDWTQuuNb+5mhoXx7VTsPMjgOQW4iMN7E42eNHj2Q0oovMmBdHUEH0F4HYG8FBJOBhvGuM8J/z6y41GbowVpUT6WzjnIQs79K9i7i6oR1TYjLnIS3r/zkimuXcS8/ZxyDzru+GO9BUT9FFU/of9cvu4Oyn6a5+IXuCbKNQs19uASuFARUTZ0a0Ny1CB1MulxUpqGTmI91J6evlP7k/2khwDmJ5E8FEar5/Cvbn9t21p3Uj561ngTXrYbIZ2KHpef9jQh/cEIvFLG61sexJjQi8EdTxeDA+I3ITO0qrvvESvA9+Sj7kdG2ceIicFS8/8LwyxiIC31UHQ==
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: verifique un archivo de firma con un archivo de datos**  

```
aws-cloudhsm > crypto verify rsa-pkcs --hash-function sha256 --key-filter attr.label=rsa-public --data-path data.txt --signature-path signature-file
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: demostrar una relación de firma falsa**  
Este comando comprueba si los datos inválidos se firmaron mediante una clave pública con la etiqueta `rsa-public` usando el mecanismo de firma RSA-PKCS para generar la firma ubicada en `/home/signature`. Dado que los argumentos especificados no constituyen una relación de firma verdadera, el comando devuelve un mensaje de error.  

```
aws-cloudhsm > crypto verify rsa-pkcs --hash-function sha256 --key-filter attr.label=rsa-public --data aW52YWxpZA== --signature XJ7mRyHnDRYrDWTQuuNb+5mhoXx7VTsPMjgOQW4iMN7E42eNHj2Q0oovMmBdHUEH0F4HYG8FBJOBhvGuM8J/z6y41GbowVpUT6WzjnIQs79K9i7i6oR1TYjLnIS3r/zkimuXcS8/ZxyDzru+GO9BUT9FFU/of9cvu4Oyn6a5+IXuCbKNQs19uASuFARUTZ0a0Ny1CB1MulxUpqGTmI91J6evlP7k/2khwDmJ5E8FEar5/Cvbn9t21p3Uj561ngTXrYbIZ2KHpef9jQh/cEIvFLG61sexJjQi8EdTxeDA+I3ITO0qrvvESvA9+Sj7kdG2ceIicFS8/8LwyxiIC31UHQ==
{
  "error_code": 1,
  "data": "Signature verification failed"
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<SIGNATURE>***  
Firma codificada en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<SIGNATURE\$1PATH>***  
Especifica la ubicación de la firma.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
En el caso de RSA-PKCS, los datos se deben pasar en formato codificado DER, según se especifica en la [Sección 9.2 del RFC 8017.](https://www.rfc-editor.org/rfc/rfc8017#section-9.2)  
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Verificar una firma firmada con el RSA-PKCS-PSS mecanismo en la CLI de CloudHSM
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss"></a>

Use el comando **crypto sign rsa-pkcs-pss** de la CLI de CloudHSM para realizar las siguientes operaciones.
+ Confirme que un archivo se haya firmado en el HSM con una clave pública determinada.
+ Verifique que la firma se haya generado mediante el mecanismo de firma RSA-PKCS-PSS.
+ Compare un archivo firmado con un archivo de origen y determine si los dos están relacionados criptográficamente en función de una clave pública rsa y un mecanismo de firma determinados.

Para usar el **crypto verify rsa-pkcs-pss** comando, primero debe tener una clave pública RSA en su clúster. AWS CloudHSM Puede importar una clave pública RSA mediante el comando key import pem (AGREGAR ENLACE DESEMPAQUETADO AQUÍ) con el atributo `verify` establecido en `true`.

**nota**  
Puede generar una firma usando la CLI de CloudHSM con los subcomandos [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md).

## Tipo de usuario
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-syntax"></a>

```
aws-cloudhsm > help crypto verify rsa-pkcs-pss
Verify with the RSA-PKCS-PSS mechanism

Usage: crypto verify rsa-pkcs-pss --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --salt-length >SALT_LENGTH< <--data-path <DATA_PATH>|--data <DATA> <--signature-path <SIGNATURE_PATH>|--signature <SIGNATURE>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be verified
      --data <DATA>
          Base64 encoded data to be verified
      --signature-path <SIGNATURE_PATH>
          The path to where the signature is located
      --signature <SIGNATURE>
          Base64 encoded signature to be verified
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
      --mgf <MGF>
          The mask generation function [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --salt-length <SALT_LENGTH>
          The salt length
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-examples"></a>

Estos ejemplos muestran cómo **crypto verify rsa-pkcs-pss** verificar una firma que se generó mediante el mecanismo de RSA-PKCS-PSS firma y la función `SHA256` hash. Este comando usa una clave pública en el HSM.

**Example Ejemplo: verifique una firma codificada en Base64 con datos codificados en Base64**  

```
aws-cloudhsm > crypto verify rsa-pkcs-pss --key-filter attr.label=rsa-public --hash-function sha256 --data YWJjMTIz --salt-length 10 --mgf mgf1-sha256 --signature H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg==
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: verifique un archivo de firma con un archivo de datos**  

```
aws-cloudhsm > crypto verify rsa-pkcs-pss --key-filter attr.label=rsa-public --hash-function sha256 --data-path data.txt --salt-length 10 --mgf mgf1-sha256 --signature signature-file
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}
```

**Example Ejemplo: demostrar una relación de firma falsa**  
Este comando comprueba si los datos inválidos se firmaron mediante una clave pública con la etiqueta `rsa-public` usando el mecanismo de firma RSA-PKCS-PSS para generar la firma ubicada en `/home/signature`. Dado que los argumentos especificados no constituyen una relación de firma verdadera, el comando devuelve un mensaje de error.  

```
aws-cloudhsm > crypto verify rsa-pkcs-pss --key-filter attr.label=rsa-public --hash-function sha256 --data aW52YWxpZA== --salt-length 10 --mgf mgf1-sha256 --signature H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg==
{
  "error_code": 1,
  "data": "Signature verification failed"
}
```

## Argumentos
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<DATA>***  
Datos codificados en Base64 para firmarse.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<DATA\$1PATH>***  
Especifica la ubicación de los datos que se deben firmar.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<HASH\$1FUNCTION>***  
Especifica la función hash.   
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<KEY\$1FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM que son compatibles, consulte Atributos clave para la CLI de CloudHSM.  
Obligatorio: sí

***<MFG>***  
Especifica la función de generación de máscaras.  
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<SIGNATURE>***  
Firma codificada en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<SIGNATURE\$1PATH>***  
Especifica la ubicación de la firma.  
Obligatorio: Sí (a menos que se proporcione por la ruta de firmas)

***<DATA\$1TYPE>***  
 Especifica si el valor del parámetro de datos debe someterse a hash como parte del algoritmo de firma. Use `raw` para datos sin aplicar hash; use `digest` para resúmenes, que ya están sometidos a hash.   
Valores válidos:  
+ raw
+ resumen

## Temas relacionados
<a name="cloudhsm_cli-crypto-verify-rsa-pkcs-pss-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# La categoría de clave en la CLI de CloudHSM
<a name="cloudhsm_cli-key"></a>

En la CLI de CloudHSM, **key** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crea un comando específico para las claves. Actualmente, esta categoría consta de los siguientes comandos:
+ [eliminar](cloudhsm_cli-key-delete.md)
+ [generate-file](cloudhsm_cli-key-generate-file.md)
+ [clave generate-asymmetric-pair](cloudhsm_cli-key-generate-asymmetric-pair.md)
  + [clave generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md)
  + [clave generate-asymmetric-pair, etc.](cloudhsm_cli-key-generate-asymmetric-pair-ec.md)
+ [key generate-symmetric](cloudhsm_cli-key-generate-symmetric.md)
  + [key generate-symmetric aes](cloudhsm_cli-key-generate-symmetric-aes.md)
  + [key generate-symmetric generic-secret](cloudhsm_cli-key-generate-symmetric-generic-secret.md)
+ [import pem](cloudhsm_cli-key-import-pem.md)
+ [list](cloudhsm_cli-key-list.md)
+ [replicación](cloudhsm_cli-key-replicate.md)
+ [set-attribute](cloudhsm_cli-key-set-attribute.md)
+ [compartir](cloudhsm_cli-key-share.md)
+ [unshare](cloudhsm_cli-key-unshare.md)
+ [unwrap](cloudhsm_cli-key-unwrap.md)
+ [wrap](cloudhsm_cli-key-wrap.md)

# Eliminación de una clave con la CLI de CloudHSM
<a name="cloudhsm_cli-key-delete"></a>

Use el **key delete** comando de la CLI de CloudHSM para eliminar una clave AWS CloudHSM de un clúster. Solo puede eliminar las claves de una en una. La eliminación de una clave de un par de claves no influye en la otra clave del par. 

Solo el CU que creó la clave y, por tanto, es su propietario, puede borrarla. Los usuarios que comparten la clave, pero no la poseen, pueden utilizarla en operaciones criptográficas, pero no pueden borrarla.

## Tipo de usuario
<a name="key-delete-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="key-delete-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-delete-syntax"></a>

```
aws-cloudhsm > help key delete
Delete a key in the HSM cluster

Usage: key delete [OPTIONS] --filter [<FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]     Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for deletion
  -h, --help                     Print help
```

## Ejemplo
<a name="key-delete-examples"></a>

```
aws-cloudhsm > key delete --filter attr.label="ec-test-public-key"
{
  "error_code": 0,
  "data": {
    "message": "Key deleted successfully"
  }
}
```

## Argumentos
<a name="key-delete-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente por eliminar.  
Para obtener una lista de los atributos de clave CLI de CloudHSM admitidos, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: sí

## Temas relacionados
<a name="key-delete-seealso"></a>
+ [Enumeración de claves de un usuario con la CLI de CloudHSM](cloudhsm_cli-key-list.md)
+ [Exportación de una clave asimétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-file.md)
+ [Dejar de compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-unshare.md)
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# Exportación de una clave asimétrica con la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-file"></a>

Use el comando **key generate-file** de la CLI de CloudHSM para exportar una clave asimétrica del módulo de seguridad de hardware (HSM). Si el destino es una clave privada, la referencia a la clave privada se exportará en un formato PEM falso. Si el destino es una clave pública, los bytes de la clave pública se exportarán en formato PEM.

El archivo PEM falso, que no contiene el material de la clave privada propiamente dicha, sino que hace referencia a la clave privada del HSM, se puede utilizar para establecer la SSL/TLS descarga de datos desde el servidor web hacia. AWS CloudHSM Para obtener más información, consulte [Descarga de SSL/TLS](ssl-offload.md).

## Tipo de usuario
<a name="key-generate-file-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="key-generate-file-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-generate-file-syntax"></a>

```
aws-cloudhsm > help key generate-file
Generate a key file from a key in the HSM cluster. This command does not export any private key data from the HSM

Usage: key generate-file --encoding <ENCODING> --path <PATH> --filter [<FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --encoding <ENCODING>
          Encoding format for the key file

          Possible values:
          - reference-pem: PEM formatted key reference (supports private keys)
          - pem:           PEM format (supports public keys)

      --path <PATH>
          Filepath where the key file will be written

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for file generation

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="key-generate-file-examples"></a>

En este ejemplo, se muestra cómo **key generate-file** se utiliza para generar un archivo de claves en el AWS CloudHSM clúster.

**Example**  

```
aws-cloudhsm > key generate-file --encoding reference-pem --path /tmp/ec-private-key.pem --filter attr.label="ec-test-private-key"
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

## Argumentos
<a name="key-generate-file-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente por eliminar.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: no

***<ENCODING>***  
Especifica el formato de codificación del archivo de claves.  
Obligatorio: sí

***<PATH>***  
Especifica la ruta del archivo en la que se escribirá el archivo de claves.  
Obligatorio: sí

## Generación de referencias de claves KSP (Windows)
<a name="key-generate-ksp-key-reference"></a>

**nota**  
Esta característica está disponible únicamente en las versiones 5.16.0 y posteriores del SDK.

### Requisitos previos
<a name="key-generate-ksp-key-reference-requirements"></a>
+ Puede generar referencias de claves KSP solo en plataformas Windows.
+ Debe iniciar sesión como usuario de criptografía (CU).

### Ubicación del archivo
<a name="key-generate-ksp-key-reference-options"></a>

De forma predeterminada, AWS CloudHSM almacena en `C:\Users\Default\AppData\Roaming\Microsoft\Crypto\CaviumKSP\GlobalPartition` los archivos generados

Para especificar una ubicación diferente, utilice el parámetro `--path`.

### Sintaxis
<a name="key-generate-ksp-key-reference-syntax"></a>

```
aws-cloudhsm > help key generate-file --encoding ksp-key-reference 
Generate a key file from a key in the HSM cluster. This command does not export any private key data from the HSM

Usage: key generate-file --encoding <ENCODING> --path <PATH> --filter [<FILTER>...]

Options:
      --encoding <ENCODING>
        Encoding format for the key file

        Possible values:
        - reference-pem:     PEM formatted key reference (supports private keys)
        - pem:               PEM format (supports public keys)
        - ksp-key-reference: KSP key reference format

      --cluster-id <CLUSTER_ID>
        Unique Id to choose which of the clusters in the config file to run the operation against. If not provided with multiple clusters configured, will error

      --path <PATH>
        Directory path where the key file will be written

      --filter [<FILTER>...]
        Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for file generation

      --all
        Generate ksp key reference for all available key pairs in HSM

  -h, --help
        Print help (see a summary with '-h')
```

### Ejemplo: generación de una referencia de clave KSP mediante un filtro de atributos de una clave privada
<a name="key-generate-ksp-key-reference-example1"></a>

El siguiente ejemplo genera una referencia de clave KSP para una clave privada con una etiqueta específica.

**Example**  

```
aws-cloudhsm > key generate-file --encoding ksp-key-reference --path  --filter attr.label="ec-test-private-key"
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

### Ejemplo: generación de referencias de claves KSP para todos los pares de claves
<a name="key-generate-ksp-key-reference-example2"></a>

El siguiente ejemplo genera referencias de claves KSP para todos los pares de claves del clúster.

**Example**  

```
aws-cloudhsm > key generate-file --encoding ksp-key-reference --all
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

## Temas relacionados
<a name="key-generate-file-seealso"></a>
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)
+ [La generate-asymmetric-pair categoría en CloudHSM CLI](cloudhsm_cli-key-generate-asymmetric-pair.md)
+ [La categoría generate-symmetric en la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric.md)

# La generate-asymmetric-pair categoría en CloudHSM CLI
<a name="cloudhsm_cli-key-generate-asymmetric-pair"></a>

En la CLI de CloudHSM, **key generate-asymmetric-pair** es una categoría principal de un grupo de comandos que, cuando se combinan con la categoría principal, crea un comando que genera pares de claves asimétricas. Actualmente, esta categoría consta de los siguientes comandos:
+ [clave, etc. generate-asymmetric-pair](cloudhsm_cli-key-generate-asymmetric-pair-ec.md)
+ [clave generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md)

# Generación de un par de claves EC asimétricas con la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-asymmetric-pair-ec"></a>

Utilice el **key asymmetric-pair ec** comando de la CLI de CloudHSM para generar un par de claves de curva elíptica (EC) asimétrica en el clúster. AWS CloudHSM 

## Tipo de usuario
<a name="key-generate-asymmetric-pair-ec-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="key-generate-asymmetric-pair-ec-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-generate-asymmetric-pair-ec-syntax"></a>

```
aws-cloudhsm > help key generate-asymmetric-pair ec
Generate an Elliptic-Curve Cryptography (ECC) key pair

Usage: key generate-asymmetric-pair ec [OPTIONS] --public-label <PUBLIC_LABEL> --private-label <PRIVATE_LABEL> --curve <CURVE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --public-label <PUBLIC_LABEL>
          Label for the public key
      --private-label <PRIVATE_LABEL>
          Label for the private key
      --session
          Creates a session key pair that exists only in the current session. The key cannot be recovered after the session ends
      --curve <CURVE>
          Elliptic curve used to generate the key pair [possible values: prime256v1, secp256r1, secp224r1, secp384r1, secp256k1, secp521r1, ed25519]
      --public-attributes [<PUBLIC_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated EC public key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --private-attributes [<PRIVATE_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated EC private key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the EC private key with
      --manage-private-key-quorum-value <MANAGE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key management operations for the private key
      --use-private-key-quorum-value <USE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations for the private key
  -h, --help
          Print help
```

## Ejemplos
<a name="key-generate-asymmetric-pair-ec-examples"></a>

Estos ejemplos muestran cómo utilizar el comando **key generate-asymmetric-pair ec** para crear un par de claves EC.

**Example Ejemplo: creación de un par de claves CE**  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x000000000012000b",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xd7c1a7",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x047096513df542250a6b228fd9cb67fd0c903abc93488467681974d6f371083fce1d79da8ad1e9ede745fb9f38ac8622a1b3ebe9270556000c",
        "curve": "secp224r1"
      }
    },
"private_key": {
      "key-reference": "0x000000000012000c",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xd7c1a7",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x047096513df542250a6b228fd9cb67fd0c903abc93488467681974d6f371083fce1d79da8ad1e9ede745fb9f38ac8622a1b3ebe9270556000c",
        "curve": "secp224r1"
      }
    }
  }
}
```

**Example Ejemplo: creación de un par de claves CE con atributos opcionales**  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example \
    --public-attributes encrypt=true \
    --private-attributes decrypt=true
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x00000000002806eb",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "public-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280c82",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "private-key",
        "encrypt": false,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    }
  }
}
```

**Example Ejemplo: creación de un par de claves EC con valores de quórum**  
Al generar una clave con controles de quórum, la clave se debe asociar a un número mínimo de usuarios igual al valor de quórum de clave más alto. Los usuarios asociados incluyen al propietario de la clave y a los usuarios de criptografía con quienes se comparte la clave. Para determinar el número mínimo de usuarios con los que se debe compartir la clave, obtenga el mayor valor entre el valor de quórum de uso de la clave y el valor de quórum de administración de la clave, y reste 1 para tener en cuenta al propietario de la clave, que está asociado de forma predeterminada a la clave. Para compartir la clave con más usuarios, utilice el comando **[Compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-share.md)**.  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example \
    --public-attributes verify=true \
    --private-attributes sign=true
    --share-crypto-users cu2 cu3 cu4 \
    --manage-private-key-quorum-value 4 \
    --use-private-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x00000000002806eb",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280c82",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    }
  }
}
```

## Argumentos
<a name="key-generate-asymmetric-pair-ec-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<CURVE>***  
Especifica el identificador de la curva elíptica.  
+ prime256v1
+ secp256r1
+ secp224r1
+ secp384r1
+ secp256k1
+ secp521r1
+ ed25519 (solo se admite en instancias hsm2m.medium en modo que no sea FIPS)
Obligatorio: sí

***<PUBLIC\$1KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios para establecer la clave pública EC generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `verify=true`)  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<PUBLIC\$1LABEL>***  
Especifica una etiqueta definida por el usuario para la clave pública. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 de y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<PRIVATE\$1KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios para establecer la clave privada EC generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `sign=true`).  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<PRIVATE\$1LABEL>***  
Especifica la etiqueta de clave privada definida por el usuario. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<SESSION>***  
Crea una clave que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Utilice este parámetro cuando necesite una clave solo brevemente, por ejemplo, una clave de encapsulamiento que cifre y, a continuación, descifre rápidamente otra clave. No utilice una clave de sesión para cifrar los datos que pueda necesitar descifrar una vez finalizada la sesión.  
De forma predeterminada, las claves que se generan son claves persistentes (token). La transferencia a <SESSION> cambia este estado, lo que garantiza que la clave generada con este argumento sea una clave de sesión (efímera).  
Obligatorio: no

***<SHARE\$1CRYPTO\$1USERS>***  
Especifica una lista separada por espacios de nombres de usuario de usuarios criptográficos con quienes se comparte la clave privada EC  
Obligatorio: no

***<MANAGE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de administración de la clave privada. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

***<USE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de uso de la clave privada. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

## Temas relacionados
<a name="key-generate-asymmetric-pair-ec-seealso"></a>
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# Generación de un par de claves RSA asimétricas con la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-asymmetric-pair-rsa"></a>

Utilice el **key generate-asymmetric-pair rsa** comando de la CLI de CloudHSM para generar un key pair de claves RSA asimétrico en el clúster. AWS CloudHSM 

## Tipo de usuario
<a name="key-generate-asymmetric-pair-rsa-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="key-generate-asymmetric-pair-rsa-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-generate-asymmetric-pair-rsa-syntax"></a>

```
aws-cloudhsm > help key generate-asymmetric-pair rsa
Generate an RSA key pair

Usage: key generate-asymmetric-pair rsa [OPTIONS] --public-label <PUBLIC_LABEL> --private-label <PRIVATE_LABEL> --modulus-size-bits <MODULUS_SIZE_BITS> --public-exponent <PUBLIC_EXPONENT>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --public-label <PUBLIC_LABEL>
          Label for the public key
      --private-label <PRIVATE_LABEL>
          Label for the private key
      --session
          Creates a session key pair that exists only in the current session. The key cannot be recovered after the session ends
      --modulus-size-bits <MODULUS_SIZE_BITS>
          Modulus size in bits used to generate the RSA key pair
      --public-exponent <PUBLIC_EXPONENT>
          Public exponent used to generate the RSA key pair
      --public-attributes [<PUBLIC_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated RSA public key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --private-attributes [<PRIVATE_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated RSA private key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the RSA key with
      --manage-private-key-quorum-value <MANAGE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key management operations for the private key
      --use-private-key-quorum-value <USE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations for the private key
  -h, --help
          Print help
```

## Ejemplos
<a name="key-generate-asymmetric-pair-rsa-examples"></a>

En estos ejemplos, se muestra cómo se utiliza `key generate-asymmetric-pair rsa` para crear un par de claves de RSA.

**Example Ejemplo: creación de un par de claves RSA**  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000160010",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x498e1f",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xdfca0669dc8288ed3bad99509bd21c7e6192661407021b3f4cdf4a593d939dd24f4d641af8e4e73b04c847731c6dbdff3385818e08dd6efcbedd6e5b130344968c
e89a065e7d1a46ced96b46b909db2ab6be871ee700fd0a448b6e975bb64cae77c49008749212463e37a577baa57ce3e574cb057e9db131e119badf50c938f26e8a5975c61a8ba7ffe7a1115a
bcebb7d20bd6df1948ae336ae23b52d73b7f3b6acc2543edb6358e08d326d280ce489571f4d34e316a2ea1904d513ca12fa04075fc09ad005c81b7345d7804ff24c45117f0a1020dca7794df037a10aadec8653473b2088711f7b7d8b58431654e14e31af0e00511da641058fb7475ffdbe60f",
        "modulus-size-bits": 2048
      }
    },
"private_key": {
      "key-reference": "0x0000000000160011",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x498e1f",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

**Example Ejemplo: creación de un par de claves RSA con atributos opcionales**  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example \
--public-attributes encrypt=true \
--private-attributes decrypt=true
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000280cc8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "public-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xb1d27e857a876f4e9fd5de748a763c539b359f937eb4b4260e30d1435485a732c878cdad9c72538e2215351b1d41358c9bf80b599c
73a80fdb457aa7b20cd61e486c326e2cfd5e124a7f6a996437437812b542e3caf85928aa866f0298580f7967ee6aa01440297d7308fdd9b76b70d1b67f12634d
f6e6296d6c116d5744c6d60d14d3bf3cb978fe6b75ac67b7089bafd50d8687213b31abc7dc1bad422780d29c851d5102b56f932551eaf52a9591fd8c43d81ecc
133022653225bd129f8491101725e9ea33e1ded83fb57af35f847e532eb30cd7e726f23910d2671c6364092e834697ec3cef72cc23615a1ba7c5e100156ae0ac
ac3160f0ca9725d38318b7",
        "modulus-size-bits": 2048
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280cc7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "private-key",
        "encrypt": false,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

**Example Ejemplo: creaciónn de un par de claves RSA con valores de quórum**  
Al generar una clave con controles de quórum, la clave se debe asociar a un número mínimo de usuarios igual al valor de quórum de clave más alto. Los usuarios asociados incluyen al propietario de la clave y a los usuarios de criptografía con quienes se comparte la clave. Para determinar el número mínimo de usuarios con los que se debe compartir la clave, obtenga el mayor valor entre el valor de quórum de uso de la clave y el valor de quórum de administración de la clave, y reste 1 para tener en cuenta al propietario de la clave, que está asociado de forma predeterminada a la clave. Para compartir la clave con más usuarios, utilice el comando **[Compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-share.md)**.  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example \
--public-attributes verify=true \
--private-attributes sign=true
--share-crypto-users cu2 cu3 cu4 \
--manage-private-key-quorum-value 4 \
--use-private-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000280cc8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xb1d27e857a876f4e9fd5de748a763c539b359f937eb4b4260e30d1435485a732c878cdad9c72538e2215351b1d41358c9bf80b599c
73a80fdb457aa7b20cd61e486c326e2cfd5e124a7f6a996437437812b542e3caf85928aa866f0298580f7967ee6aa01440297d7308fdd9b76b70d1b67f12634d
f6e6296d6c116d5744c6d60d14d3bf3cb978fe6b75ac67b7089bafd50d8687213b31abc7dc1bad422780d29c851d5102b56f932551eaf52a9591fd8c43d81ecc
133022653225bd129f8491101725e9ea33e1ded83fb57af35f847e532eb30cd7e726f23910d2671c6364092e834697ec3cef72cc23615a1ba7c5e100156ae0ac
ac3160f0ca9725d38318b7",
        "modulus-size-bits": 2048
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280cc7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

## Argumentos
<a name="key-generate-asymmetric-pair-rsa-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<MODULUS\$1SIZE\$1BITS>***  
 Especifica la longitud del módulo en bits. El valor mínimo es 2048.   
Obligatorio: sí

***<PRIVATE\$1KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios para establecer la clave privada RSA generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `sign=true`).  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<PRIVATE\$1LABEL>***  
 Especifica la etiqueta de clave privada definida por el usuario. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<PUBLIC\$1EXPONENT>***  
Especifica el exponente público. El valor debe ser un número impar superior o igual a 65537.  
Obligatorio: sí

***<PUBLIC\$1KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios para establecer la clave pública RSA generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `verify=true`).  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<PUBLIC\$1LABEL>***  
 Especifica una etiqueta definida por el usuario para la clave pública. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 de y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<SESSION>***  
Crea una clave que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Utilice este parámetro cuando necesite una clave solo brevemente, por ejemplo, una clave de encapsulamiento que cifre y, a continuación, descifre rápidamente otra clave. No utilice una clave de sesión para cifrar los datos que pueda necesitar descifrar una vez finalizada la sesión.  
De forma predeterminada, las claves que se generan son claves persistentes (token). La transferencia a <SESSION> cambia este estado, lo que garantiza que la clave generada con este argumento sea una clave de sesión (efímera).  
Obligatorio: no

***<SHARE\$1CRYPTO\$1USERS>***  
Especifica una lista separada por espacios de nombres de usuario de usuarios criptográficos con quienes se comparte la clave privada RSA  
Obligatorio: no

***<MANAGE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de administración de la clave privada. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

***<USE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de uso de la clave privada. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

## Temas relacionados
<a name="key-generate-asymmetric-pair-rsa-seealso"></a>
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# La categoría generate-symmetric en la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-symmetric"></a>

En la CLI de CloudHSM, **key generate-symmetric** es una categoría principal de un grupo de comandos que, cuando se combinan con la categoría principal, crea un comando que genera claves simétricas. Actualmente, esta categoría consta de los siguientes comandos:
+ [key generate-symmetric aes](cloudhsm_cli-key-generate-symmetric-aes.md)
+ [key generate-symmetric generic-secret](cloudhsm_cli-key-generate-symmetric-generic-secret.md)

# Generación de una clave AES simétrica con la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-symmetric-aes"></a>

Utilice el **key generate-symmetric aes** comando de la CLI de CloudHSM para generar una clave AES simétrica en el clúster. AWS CloudHSM 

## Tipo de usuario
<a name="key-generate-symmetric-aes-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="key-generate-symmetric-aes-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-generate-symmetric-aes-syntax"></a>

```
aws-cloudhsm > help key generate-symmetric aes
Generate an AES key

Usage: key generate-symmetric aes [OPTIONS] --label <LABEL> --key-length-bytes <KEY_LENGTH_BYTES>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --label <LABEL>
          Label for the key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --key-length-bytes <KEY_LENGTH_BYTES>
          Key length in bytes
      --attributes [<KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated AES key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the AES key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE>
          The quorum value for key management operations
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations
  -h, --help
          Print help
```

## Ejemplos
<a name="key-generate-symmetric-aes-examples"></a>

En estos ejemplos se muestra cómo utilizar el comando **key generate-symmetric aes** para crear una clave AES.

**Example Ejemplo: creación de una clave AES**  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

**Example Ejemplo: creación de una clave AES con atributos opcionales**  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24 \
--attributes decrypt=true encrypt=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

**Example Ejemplo: creación de una clave AES con valores de quórum**  
Al generar una clave con controles de quórum, la clave se debe asociar a un número mínimo de usuarios igual al valor de quórum de clave más alto. Los usuarios asociados incluyen al propietario de la clave y a los usuarios de criptografía con quienes se comparte la clave. Para determinar el número mínimo de usuarios con los que se debe compartir la clave, obtenga el mayor valor entre el valor de quórum de uso de la clave y el valor de quórum de administración de la clave, y reste 1 para tener en cuenta al propietario de la clave, que está asociado de forma predeterminada a la clave. Para compartir la clave con más usuarios, utilice el comando **[Compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-share.md)**.  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24 \
--attributes decrypt=true encrypt=true
--share-crypto-users cu2 cu3 cu4 \
--manage-key-quorum-value 4 \
--use-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

## Argumentos
<a name="key-generate-symmetric-aes-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios que se debe configurar para la clave AES generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `sign=true`).  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<KEY-LENGTH-BYTES>***  
Especifica la longitud de la clave en bytes.  

Valores válidos:
+ 16, 24 y 32
Obligatorio: sí

***<LABEL>***  
Especifica la etiqueta de clave AES definida por el usuario. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<SESSION>***  
Crea una clave que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Utilice este parámetro cuando necesite una clave solo brevemente, por ejemplo, una clave de encapsulamiento que cifre y, a continuación, descifre rápidamente otra clave. No utilice una clave de sesión para cifrar los datos que pueda necesitar descifrar una vez finalizada la sesión.  
De forma predeterminada, las claves que se generan son claves persistentes (token). La transferencia a <SESSION> cambia este estado, lo que garantiza que la clave generada con este argumento sea una clave de sesión (efímera).  
Obligatorio: no

***<SHARE\$1CRYPTO\$1USERS>***  
Especifica una lista separada por espacios de nombres de usuarios de criptografía con quienes se comparte la clave AES  
Obligatorio: no

***<MANAGE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de administración de claves. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

***<USE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de uso de claves. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

## Temas relacionados
<a name="key-generate-symmetric-aes-seealso"></a>
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# Generación de una clave secreta, genérica y simétrica con la CLI de CloudHSM
<a name="cloudhsm_cli-key-generate-symmetric-generic-secret"></a>

Utilice el **key generate-symmetric generic-secret** comando de la CLI de CloudHSM para generar una clave secreta genérica simétrica en el clúster. AWS CloudHSM 

## Tipo de usuario
<a name="key-generate-symmetric-generic-secret-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="key-generate-symmetric-generic-secret-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="key-generate-symmetric-generic-secret-syntax"></a>

```
aws-cloudhsm > key help generate-symmetric generic-secret
Generate a generic secret key

Usage: key generate-symmetric generic-secret [OPTIONS] --label <LABEL> --key-length-bytes <KEY_LENGTH_BYTES>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --label <LABEL>
          Label for the key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --key-length-bytes <KEY_LENGTH_BYTES>
          Key length in bytes
      --attributes [<KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated generic secret key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the generic secret key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE>
          The quorum value for key management operations
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations
  -h, --help
          Print help
```

## Ejemplos
<a name="key-generate-symmetric-generic-secret-examples"></a>

En estos ejemplos se muestra cómo usar el comando **key generate-symmetric generic-secret** para crear una clave secreta genérica.

**Example Ejemplo: crear una clave secreta genérica**  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

**Example Ejemplo: cree una clave secreta genérica con atributos opcionales**  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256 \
--attributes encrypt=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

**Example Ejemplo: creación de una clave secreta genérica con valores de quórum**  
Al generar una clave con controles de quórum, la clave se debe asociar a un número mínimo de usuarios igual al valor de quórum de clave más alto. Los usuarios asociados incluyen al propietario de la clave y a los usuarios de criptografía con quienes se comparte la clave. Para determinar el número mínimo de usuarios con los que se debe compartir la clave, obtenga el mayor valor entre el valor de quórum de uso de la clave y el valor de quórum de administración de la clave, y reste 1 para tener en cuenta al propietario de la clave, que está asociado de forma predeterminada a la clave. Para compartir la clave con más usuarios, utilice el comando **[Compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-share.md)**.  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256 \
--attributes encrypt=true
--share-crypto-users cu2 cu3 cu4 \
--manage-key-quorum-value 4 \
--use-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

## Argumentos
<a name="key-generate-symmetric-generic-secret-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios que se debe configurar para la clave AES generada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `sign=true`).  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

***<KEY-LENGTH-BYTES>***  
Especifica la longitud de la clave en bytes.  

Valores válidos:
+ 1 a 800
Obligatorio: sí

***<LABEL>***  
Especifica una etiqueta definida del usuario para la clave secreta genérica. El tamaño máximo permitido para `label` es de 127 caracteres para Client SDK 5.11 y versiones posteriores. Client SDK 5.10 y versiones anteriores tienen un límite de 126 caracteres.  
Obligatorio: sí

***<SESSION>***  
Crea una clave que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Utilice este parámetro cuando necesite una clave solo brevemente, por ejemplo, una clave de encapsulamiento que cifre y, a continuación, descifre rápidamente otra clave. No utilice una clave de sesión para cifrar los datos que pueda necesitar descifrar una vez finalizada la sesión.  
De forma predeterminada, las claves que se generan son claves persistentes (token). La transferencia a <SESSION> cambia este estado, lo que garantiza que la clave generada con este argumento sea una clave de sesión (efímera).  
Obligatorio: no

***<SHARE\$1CRYPTO\$1USERS>***  
Lista separada por espacios de nombres de usuarios de criptografía con quienes se comparte la clave secreta genérica  
Obligatorio: no

***<MANAGE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de administración de claves. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

***<USE\$1KEY\$1QUORUM\$1VALUE>***  
El valor de quórum para las operaciones de uso de claves. Este valor debe ser menor o igual que el número de usuarios con los que la clave está asociada. Esto incluye a los usuarios con quienes se comparte la clave y al propietario de la clave. Valor máximo: 8.  
Obligatorio: no

## Temas relacionados
<a name="key-generate-symmetric-generic-secret-seealso"></a>
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# Importación de una clave en formato PEM con la CLI de CloudHSM
<a name="cloudhsm_cli-key-import-pem"></a>

Utilice el **key import pem** comando in AWS CloudHSM para importar una clave de formato PEM a un módulo de seguridad de hardware (HSM). Puede utilizarlo para importar claves públicas que se han generado fuera del HSM.

**nota**  
Use el comando [Exportación de una clave asimétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-file.md) para crear un archivo PEM estándar a partir de una clave pública o para crear un archivo PEM de referencia a partir de una clave privada.

## Tipo de usuario
<a name="cloudhsm_cli-key-import-pem-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas () CUs

## Requisitos
<a name="cloudhsm_cli-key-import-pem-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-import-pem-syntax"></a>

```
aws-cloudhsm > help key import pem
Import key from a PEM file

Usage: key import pem [OPTIONS] --path <PATH> --label <LABEL> --key-type-class <KEY_TYPE_CLASS>
Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --path <PATH>
          Path where the key is located in PEM format
      --label <LABEL>
          Label for the imported key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of the imported key [possible values: ec-public, rsa-public]
      --attributes [<IMPORT_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the imported key
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-import-pem-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key import pem** para importar una clave pública RSA desde un archivo en formato PEM.

**Example Ejemplo: importe una clave pública RSA**  

```
aws-cloudhsm > key import pem --path /home/example --label example-imported-key --key-type-class rsa-public
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001e08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",                                   
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "example-imported-key",
        "id": "0x",
        "check-value": "0x99fe93",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0x8e9c172c37aa22ed1ce25f7c3a7c936dadc532201400128b044ebb4b96│··3e4930ab910df5a2896eaeb8853cfea0e341227654a8337a7864cc8a87d136f006cfba9e68d0b329│··746c1ad60941668b18699fc8169ff1ec363d0d18292845b2454d6a0b8c5d111b79c047619d460cdf│··be59debbacb66b7abeaf3f3d35dd2b9cfa6b6b7b1258b6866cb4085ac749e9d8552b3a4509e1b86c│··828cc794e22767b4f6b5bc6ff5c96f4b7e60eab305d669cfa2197e85379cb35c659bb58fcd246d48│··d9f6a7f36063b42da025459275aa8e3abedad775387086bd6c198ded868403f4b87ffda5a2d455ac│··aa6cbd00003c31d8d2f51d10cd272b31cf0c4037791f48ad51fb35",
        "modulus-size-bits": 2048
      }
    },
    "message": "Successfully imported key"
  }
}
```

**Example Ejemplo: importe una clave pública RSA con atributos opcionales**  

```
aws-cloudhsm > key import pem --path /home/example --label example-imported-key-with-attributes --key-type-class rsa-public --attributes verify=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001e08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",                                      
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "example-imported-key-with-attributes",
        "id": "0x",
        "check-value": "0x99fe93",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0x8e9c172c37aa22ed1ce25f7c3a7c936dadc532201400128b044ebb4b96│··3e4930ab910df5a2896eaeb8853cfea0e341227654a8337a7864cc8a87d136f006cfba9e68d0b329│··746c1ad60941668b18699fc8169ff1ec363d0d18292845b2454d6a0b8c5d111b79c047619d460cdf│··be59debbacb66b7abeaf3f3d35dd2b9cfa6b6b7b1258b6866cb4085ac749e9d8552b3a4509e1b86c│··828cc794e22767b4f6b5bc6ff5c96f4b7e60eab305d669cfa2197e85379cb35c659bb58fcd246d48│··d9f6a7f36063b42da025459275aa8e3abedad775387086bd6c198ded868403f4b87ffda5a2d455ac│··aa6cbd00003c31d8d2f51d10cd272b31cf0c4037791f48ad51fb35",
        "modulus-size-bits": 2048
      }
    },
    "message": "Successfully imported key"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-import-pem-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PATH>***  
Especifica la ruta del archivo en la que se encuentra el archivo de claves.  
Obligatorio: sí

***<LABEL>***  
Especifica una etiqueta definida por el usuario para la clave importada. El tamaño máximo permitido para `label` es de 126 caracteres.  
Obligatorio: sí

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de llave empaquetada.  
Valores posibles:  
+ ec-public
+ rsa-public
Obligatorio: sí

***<IMPORT\$1KEY\$1ATTRIBUTES>***  
Especifica una lista de atributos de clave separados por espacios que se debe configurar para la clave importada en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` (por ejemplo, `sign=true`). Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: no

## Temas relacionados
<a name="cloudhsm_cli-key-import-pem-seealso"></a>
+ [La categoría de firma criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-sign.md)
+ [La categoría de verificación criptográfica en la CLI de CloudHSM](cloudhsm_cli-crypto-verify.md)

# Enumeración de claves de un usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-key-list"></a>

Utilice el **key list** comando de la CLI de CloudHSM para buscar todas las claves del usuario actual presentes AWS CloudHSM en el clúster. El resultado incluye claves que el usuario posee y comparte, así como todas las claves públicas en el clúster de CloudHSM.

## Tipo de usuario
<a name="chsm-cli-key-list-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administradores () COs
+ Usuarios criptográficos () CUs

## Sintaxis
<a name="chsm-cli-key-list-syntax"></a>

```
aws-cloudhsm > help key list
List the keys the current user owns, shares, and all public keys in the HSM cluster

Usage: key list [OPTIONS]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select matching key(s) to list
      --max-items <MAX_ITEMS>
          The total number of items to return in the command's output. If the total number of items available is more than the value specified, a next-token is provided in the command's output. To resume pagination, provide the next-token value in the starting-token argument of a subsequent command [default: 10]
      --starting-token <STARTING_TOKEN>
          A token to specify where to start paginating. This is the next-token from a previously truncated response
  -v, --verbose
          If included, prints all attributes and key information for each matched key. By default each matched key only displays its key-reference and label attribute. This flag when used by Admins has no effect
  -h, --help
          Print help
```

## Ejemplos
<a name="chsm-cli-key-list-examples"></a>

Los siguientes ejemplos muestran las diferentes formas de ejecutar el comando **key list**. En los siguientes ejemplos, se muestran los resultados como usuario criptográfico.

**Example Ejemplo: búsqueda de todas las claves - predeterminado**  
Este comando muestra las claves del usuario que ha iniciado sesión y que están presentes en el AWS CloudHSM clúster.  
De forma predeterminada, solo se muestran 10 claves del usuario que ha iniciado sesión y solo se muestran las `key-reference` y `label`. Utilice las opciones de paginación adecuadas para mostrar más o menos claves.

```
aws-cloudhsm > key list
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x00000000000003d5",
        "attributes": {
          "label": "test_label_1"
        }
      },
      {
        "key-reference": "0x0000000000000626",
        "attributes": {
          "label": "test_label_2"
        }
      },.
      ...8 keys later...
    ],
    "total_key_count": 56,
    "returned_key_count": 10,
    "next_token": "10"
  }
}
```

**Example Ejemplo: búsqueda de todas las claves - detallado**  
El resultado incluye las claves que el usuario posee y comparte, así como todas las claves públicas del HSMs.  
Nota: de forma predeterminada, solo se muestran 10 claves del usuario que ha iniciado sesión. Utilice las opciones de paginación adecuadas para mostrar más o menos claves.

```
aws-cloudhsm > key list --verbose
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x000000000012000c",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "ec",
          "label": "ec-test-private-key",
          "id": "",
          "check-value": "0x2a737d",
          "class": "private-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": false,
          "trusted": false,
          "unwrap": false,
          "verify": false,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 122,
          "ec-point": "0x0442d53274a6c0ec1a23c165dcb9ccdd72c64e98ae1a9594bb5284e752c746280667e11f1e983493c1c605e0a8071ede47ca280f94c6b2aa33",
          "curve": "secp224r1"
        }
      },
      {
        "key-reference": "0x000000000012000d",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "ec",
          "label": "ec-test-public-key",
          "id": "",
          "check-value": "0x2a737d",
          "class": "public-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": false,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": false,
          "sign": false,
          "trusted": false,
          "unwrap": false,
          "verify": false,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 57,
          "ec-point": "0x0442d53274a6c0ec1a23c165dcb9ccdd72c64e98ae1a9594bb5284e752c746280667e11f1e983493c1c605e0a8071ede47ca280f94c6b2aa33",
          "curve": "secp224r1"
        }
      }
    ],
      ...8 keys later...
    "total_key_count": 1580,
    "returned_key_count": 10
  }
}
```

**Example Ejemplo: devolución paginada**  
El siguiente ejemplo muestra un subconjunto paginado de claves que muestra solo dos claves. A continuación, el ejemplo proporciona una llamada posterior para mostrar las dos claves siguientes.  

```
aws-cloudhsm > key list --verbose --max-items 2
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x0000000000000030",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "98a6688d1d964ed7b45b9cec5c4b1909",
          "id": "",
          "check-value": "0xb28a46",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      },
      {
        "key-reference": "0x0000000000000042",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "4ad6cdcbc02044e09fa954143efde233",
          "id": "",
          "check-value": "0xc98104",
          "class": "secret-key",
          "encrypt": true,
          "decrypt": true,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": true,
          "verify": true,
          "wrap": true,
          "wrap-with-trusted": false,
          "key-length-bytes": 16
        }
      }
    ],
    "total_key_count": 1580,
    "returned_key_count": 2,
    "next_token": "2"
  }
}
```
Para mostrar las dos claves siguientes, se puede realizar una llamada posterior:  

```
aws-cloudhsm > key list --verbose --max-items 2 --starting-token 2
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x0000000000000081",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "6793b8439d044046982e5b895791e47f",
          "id": "",
          "check-value": "0x3f986f",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      },
      {
        "key-reference": "0x0000000000000089",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "56b30fa05c6741faab8f606d3b7fe105",
          "id": "",
          "check-value": "0xe9201a",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      }
    ],
    "total_key_count": 1580,
    "returned_key_count": 2,
    "next_token": "4"
  }
}
```
Para ver más ejemplos que demuestran cómo funciona el mecanismo de filtrado de claves en la CLI de CloudHSM, consulte [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md).

## Argumentos
<a name="key-list-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar clave coincidentes por enumerar.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: no

***<MAX\$1ITEMS>***  
El número total de elementos que se devuelven en la salida del comando. Si el número total de elementos disponible es mayor que el valor especificado, se proporciona un next-token en la salida del comando. Para reanudar la paginación, proporcione el valor del next-token en el argumento starting-token de un comando posterior.  
Obligatorio: no

***<STARTING\$1TOKEN>***  
Un token destinado a especificar dónde iniciar la paginación. Este es el next-token de una respuesta previamente truncada.  
Obligatorio: no

***<VERBOSE>***  
Si se incluye, muestra todos los atributos y la información clave de cada clave de coincidencia. De forma predeterminada, cada clave de coincidencia solo muestra su referencia clave y su atributo de etiqueta. Esta marca no tiene ningún efecto cuando la usan los administradores.  
Obligatorio: no

## Temas relacionados
<a name="chsm-key-list-seealso"></a>
+ [Eliminación de una clave con la CLI de CloudHSM](cloudhsm_cli-key-delete.md)
+ [Exportación de una clave asimétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-file.md)
+ [Dejar de compartir una clave mediante la CLI de CloudHSM](cloudhsm_cli-key-unshare.md)
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)

# Replicación de una clave con la CLI de CloudHSM
<a name="cloudhsm_cli-key-replicate"></a>

Utilice el **key replicate** comando de la CLI de CloudHSM para replicar una clave de un clúster de origen a AWS CloudHSM AWS CloudHSM un clúster de destino.

## Tipo de usuario
<a name="chsm-cli-key-replicate-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administradores () COs
+ Usuarios criptográficos () CUs
**nota**  
Los usuarios criptográficos deben poseer la clave para usar este comando.

## Requisitos
<a name="cloudhsm_cli-key-replicate-requirements"></a>
+ Los clústeres de origen y destino deben ser clones. Esto significa que uno se creó a partir de una copia de seguridad del otro o que ambos se crearon a partir de una copia de seguridad común. Para obtener más información, consulte [Creación de clústeres a partir de las copias de seguridad](create-cluster-from-backup.md).
+ El propietario de la clave debe existir en el clúster de destino. Además, si la clave se comparte con algún usuario, este también debe existir en el clúster de destino.
+ Para ejecutar este comando, debe iniciar sesión como usuario criptográfico o administrador en los clústeres de origen y de destino.
  +  En el modo de comando único, el comando usará las variables de entorno CLOUDHSM\$1PIN y CLOUDHSM\$1ROLE para autenticarse en el clúster de origen. Para obtener más información, consulte [Modo de comando único](cloudhsm_cli-modes.md#cloudhsm_cli-mode-single-command). Para proporcionar las credenciales del clúster de destino, debe configurar dos variables de entorno adicionales: DESTINATION\$1CLOUDHSM\$1PIN y DESTINATION\$1CLOUDHSM\$1ROLE:

    ```
    $ export DESTINATION_CLOUDHSM_ROLE=<role>
    ```

    ```
    $ export DESTINATION_CLOUDHSM_PIN=<username:password>
    ```
  +  En el modo interactivo, los usuarios deberán iniciar sesión de forma explícita en los clústeres de origen y de destino.

## Sintaxis
<a name="chsm-cli-key-replicate-syntax"></a>

```
aws-cloudhsm > help key replicate
Replicate a key from a source to a destination cluster

Usage: key replicate --filter [<FILTER>...] --source-cluster-id <SOURCE_CLUSTER_ID> --destination-cluster-id <DESTINATION_CLUSTER_ID>

Options:
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select matching key on the source cluster
      --source-cluster-id <SOURCE_CLUSTER_ID>
          Source cluster ID
      --destination-cluster-id <DESTINATION_CLUSTER_ID>
          Destination cluster ID
  -h, --help
          Print help
```

## Ejemplos
<a name="chsm-cli-key-replicate-examples"></a>

**Example Ejemplo: replicar clave**  
Este comando replica una clave de un clúster de origen a un clúster de destino clonado. En el siguiente ejemplo, se muestra el resultado cuando se inicia sesión como usuario criptográfico en ambos clústeres.  

```
crypto-user-1@cluster-1234abcdefg > key replicate \
      --filter attr.label=example-key \
      --source-cluster-id cluster-1234abcdefg \
      --destination-cluster-id cluster-2345bcdefgh
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x0000000000300006",
      "key-info": {
        "key-owners": [
          {
            "username": "crypto-user-1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-key",
        "id": "0x",
        "check-value": "0x5e118e",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": true,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    },
    "message": "Successfully replicated key"
  }
}
```

## Argumentos
<a name="key-replicate-arguments"></a>

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente en el clúster de origen.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: sí

***<SOURCE\$1CLUSTER\$1ID>***  
El ID del clúster de origen.  
Obligatorio: sí

***<DESTINATION\$1CLUSTER\$1ID>***  
El ID del clúster de destino.  
Obligatorio: sí

## Temas relacionados
<a name="chsm-key-replicate-seealso"></a>
+ [Conexión a varios clústeres con la CLI de CloudHSM](cloudhsm_cli-configs-multi-cluster.md)

# Establecimiento de los atributos de las claves con la CLI de CloudHSM
<a name="cloudhsm_cli-key-set-attribute"></a>

Utilice el **key set-attribute** comando de la CLI de CloudHSM para establecer los atributos de las claves AWS CloudHSM del clúster. Solamente el CU que creó la clave y que, por lo tanto, es su propietario, puede cambiar los atributos de la clave.

Para obtener una lista de los atributos clave que se pueden usar en la CLI de CloudHSM, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).

## Tipo de usuario
<a name="chsm-cli-key-set-attribute-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Los usuarios criptográficos (CUs) pueden ejecutar este comando.
+ Los administradores pueden establecer el atributo de confianza.

## Requisitos
<a name="chsm-cli-key-set-attribute-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU. Para establecer el atributo de confianza, debe iniciar sesión como usuario administrador.

## Sintaxis
<a name="chsm-cli-key-set-attribute-syntax"></a>

```
aws-cloudhsm > help key set-attribute
Set an attribute for a key in the HSM cluster

Usage: cloudhsm-cli key set-attribute [OPTIONS] --filter [<FILTER>...] --name <KEY_ATTRIBUTE> --value <KEY_ATTRIBUTE_VALUE>

Options:
      --cluster-id <CLUSTER_ID>         Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]            Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key to modify
      --name <KEY_ATTRIBUTE>            Name of attribute to be set
      --value <KEY_ATTRIBUTE_VALUE>...  Attribute value to be set
      --approval <APPROVAL>            Filepath of signed quorum token file to approve operation
  -h, --help                            Print help
```

## Ejemplo: configuración de un atributo clave
<a name="chsm-cli-key-set-attribute-examples"></a>

El siguiente ejemplo muestra cómo utilizar el comando **key set-attribute** para establecer la etiqueta.

**Example**  

1. Utilice la clave con la etiqueta `my_key`, como se muestra a continuación:

   ```
   aws-cloudhsm > key set-attribute --filter attr.label=my_key --name encrypt --value false
   {
     "error_code": 0,
     "data": {
       "message": "Attribute set successfully"
     }
   }
   ```

1. Utilice el comando **key list** para confirmar que el atributo `encrypt` ha cambiado:

   ```
   aws-cloudhsm > key list --filter attr.label=my_key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000006400ec",
           "key-info": {
             "key-owners": [
               {
                 "username": "bob",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [],
           "key-quorum-values": {
             "manage-key-quorum-value": 0,
             "use-key-quorum-value": 0
           },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "aes",
             "label": "my_key",
             "id": "",
             "check-value": "0x6bd9f7",
             "class": "secret-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": true,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": true,
             "unwrap": true,
             "verify": true,
             "wrap": true,
             "wrap-with-trusted": false,
             "key-length-bytes": 32
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

## Argumentos
<a name="chsm-cli-key-set-attribute-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<KEY\$1ATTRIBUTE>***  
Especifica el nombre del atributo de la clave.  
Obligatorio: sí

***<FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente por eliminar.  
Para obtener una lista de los atributos clave de la CLI de CloudHSM compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)  
Obligatorio: no

***<KEY\$1ATTRIBUTE\$1VALUE>***  
Especifica el valor del atributo de la clave.  
Obligatorio: sí

***<KEY\$1REFERENCE>***  
Representación hexadecimal o decimal de la clave (como el identificador de una clave).  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave es mayor que 1.

## Temas relacionados
<a name="chsm-cli-key-set-attribute-see-also"></a>
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)

# Compartir una clave mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-share"></a>

Utilice el **key share** comando de la CLI de CloudHSM para compartir una clave CUs con otras AWS CloudHSM personas del clúster.

Solo el CU que ha creado la clave (y, por tanto, la posee) puede compartirla. Los usuarios con quien se comparte la clave pueden utilizar la clave en operaciones criptográficas, pero no pueden exportarla ni eliminarla ni tampoco pueden compartirla o dejar de compartirla con otros usuarios. Además, estos usuarios no pueden cambiar los [atributos de clave](cloudhsm_cli-key-attributes.md).

## Tipo de usuario
<a name="chsm-cli-key-share-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="chsm-cli-key-share-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="chsm-cli-key-share-syntax"></a>

```
aws-cloudhsm > help key share
Share a key in the HSM cluster with another user

Usage: key share --filter [<FILTER>...] --username <USERNAME> --role <ROLE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for sharing

      --username <USERNAME>
          A username with which the key will be shared

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo: compartir una clave con otro CU
<a name="chsm-cli-key-share-examples"></a>

El siguiente ejemplo muestra cómo usar el comando **key share** para compartir una clave con el CU `alice`.

**Example**  

1. Ejecute el comando **key share** para compartir la clave con `alice`.

   ```
   aws-cloudhsm > key share --filter attr.label="rsa_key_to_share" attr.class=private-key --username alice --role crypto-user
   {
     "error_code": 0,
     "data": {
       "message": "Key shared successfully"
     }
   }
   ```

1. Ejecute el comando **key list**.

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
               {
                 "username": "alice",
                 "key-coverage": "full"
               }
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "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",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

1. En la lista anterior, compruebe que `alice` aparece en la lista de `shared-users`

## Argumentos
<a name="chsm-cli-key-share-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente por eliminar.  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: sí

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1). En este comando, el nombre de usuario no distingue entre mayúsculas y minúsculas; el nombre de usuario siempre se muestra en minúsculas.  
Obligatorio: sí

***<ROLE>***  
Especifica el rol asignado a este usuario. Este parámetro es obligatorio. Para obtener el rol del usuario, ejecute el comando user list. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [Tipos de usuario del HSM para la CLI de CloudHSM](understanding-users.md).  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave es mayor que 1.

## Temas relacionados
<a name="chsm-cli-key-share-see-also"></a>
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)

# Dejar de compartir una clave mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unshare"></a>

Utilice el **key unshare** comando de la CLI de CloudHSM para dejar de compartir una clave CUs con otras del clúster. AWS CloudHSM 

Solo el CU que ha creado la clave (y, por tanto, la posee) puede dejar de compartirla. Los usuarios con quien se comparte la clave pueden utilizar la clave en operaciones criptográficas, pero no pueden exportarla ni eliminarla ni tampoco pueden compartirla o dejar de compartirla con otros usuarios. Además, estos usuarios no pueden cambiar los [atributos de clave](cloudhsm_cli-key-attributes.md).

## Tipo de usuario
<a name="chsm-cli-key-unshare-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="chsm-cli-key-unshare-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="chsm-cli-key-unshare-syntax"></a>

```
aws-cloudhsm > help key unshare
Unshare a key in the HSM cluster with another user

Usage: key unshare --filter [<FILTER>...] --username <USERNAME> --role <ROLE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for unsharing

      --username <USERNAME>
          A username with which the key will be unshared

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo: dejar de compartir una clave con otro CU
<a name="chsm-cli-key-share-examples"></a>

El siguiente ejemplo muestra cómo usar el comando **key unshare** para dejar de compartir una clave con el CU `alice`.

**Example**  

1. Ejecute el comando **key list** y filtre la clave específica que desea dejar de compartir con `alice`.

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
               {
                 "username": "alice",
                 "key-coverage": "full"
               }
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "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",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

1. Confirme que `alice` aparece en los resultados de `shared-users` y ejecute el comando **key unshare** para dejar de compartir la clave con `alice`.

   ```
   aws-cloudhsm > key unshare --filter attr.label="rsa_key_to_share" attr.class=private-key --username alice --role crypto-user
   {
     "error_code": 0,
     "data": {
       "message": "Key unshared successfully"
     }
   }
   ```

1. Vuelva a ejecutar el comando `key list` para confirmar que la clave ha dejado de compartirse con `alice`.

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "0xa8855cba933cec0c21a4df0450ec31675c024f3e65b2b215a53d2bda6dcd191f75729150b59b4d86df58254c8f518f7d000cc04d8e958e7502c7c33098e28da4d94378ef34fb57d1cc7e042d9119bd79be0df728421a980a397095157da24cf3cc2b6dab12225d33fdca11f0c6ed1a5127f12488cda9a556814b39b06cd8373ff5d371db2212887853621b8510faa7b0779fbdec447e1f1d19f343acb02b22526487a31f6c704f8f003cb4f7013136f90cc17c2c20e414dc1fc7bcfb392d59c767900319679fc3307388633485657ce2e1a3deab0f985b0747ef4ed339de78147d1985d14fdd8634219321e49e3f5715e79c298f18658504bab04086bfbdcd3b",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

## Argumentos
<a name="chsm-cli-key-unshare-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave coincidente por eliminar.  
Para obtener una lista de los atributos de clave compatibles, consulte [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md).  
Obligatorio: sí

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1). En este comando, el nombre de usuario no distingue entre mayúsculas y minúsculas; el nombre de usuario siempre se muestra en minúsculas.  
Obligatorio: sí

***<ROLE>***  
Especifica el rol asignado a este usuario. Este parámetro es obligatorio. Para obtener el rol del usuario, ejecute el comando user list. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [Tipos de usuario del HSM para la CLI de CloudHSM](understanding-users.md).  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave es mayor que 1.

## Temas relacionados
<a name="chsm-cli-key-unshare-see-also"></a>
+ [Filtrar claves mediante la CLI de CloudHSM](manage-keys-cloudhsm-cli-filtering.md)
+ [Atributos de clave de la CLI de CloudHSM](cloudhsm_cli-key-attributes.md)

# El comando de desempaquetado de clave en la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap"></a>

El comando principal **key unwrap** en la CLI de CloudHSM importa una clave privada, simétrica o asimétrica (empaquetada) de un archivo hacia la HSM. Este comando está diseñado para importar claves cifradas que se empaquetaron con el comando [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md), pero también se puede usar para desempaquetar claves empaquetadas con otras herramientas. Sin embargo, en esas situaciones, le recomendamos que utilice las bibliotecas de software de PKCS \$111 o JCE para desencapsular la clave.
+ [aes-gcm](cloudhsm_cli-key-unwrap-aes-gcm.md)
+ [aes-no-pad](cloudhsm_cli-key-unwrap-aes-no-pad.md)
+ [aes-pkcs5-pad](cloudhsm_cli-key-unwrap-aes-pkcs5-pad.md)
+ [aes-zero-pad](cloudhsm_cli-key-unwrap-aes-zero-pad.md)
+ [cloudhsm-aes-gcm](cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm.md)
+ [rsa-aes](cloudhsm_cli-key-unwrap-rsa-aes.md)
+ [rsa-oaep](cloudhsm_cli-key-unwrap-rsa-oaep.md)
+ [rsa-pkcs](cloudhsm_cli-key-unwrap-rsa-pkcs.md)

# Desempaquetar una clave con AES-GCM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-aes-gcm"></a>

Use el comando **key unwrap aes-gcm** en la CLI de CloudHSM para desempaquetar una clave de carga útil en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado `AES-GCM`.

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por AWS CloudHSM. Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap aes-gcm** comando, debe tener la clave de empaquetado AES en su AWS CloudHSM clúster y su `unwrap` atributo debe estar `true` establecido en.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-aes-gcm-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos (CUs)

## Requisitos
<a name="cloudhsm_cli-key-unwrap-aes-gcm-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-gcm
Usage: key unwrap aes-gcm [OPTIONS] --filter [<FILTER>...] --tag-length-bits <TAG_LENGTH_BITS> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> --iv <IV> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --iv <IV>
          Initial value used to wrap the key, in hex
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-aes-gcm-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap aes-gcm** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --iv 0xf90613bb8e337ec0339aad21 --data xvslgrtg8kHzrvekny97tLSIeokpPwV8
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e4",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --iv 0xf90613bb8e337ec0339aad21 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e4",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<AAD>***  
Valor de datos autenticados adicionales (AAD) de Aes GCM, en hexadecimal.  
Obligatorio: no

***<TAG\$1LENGTH\$1BITS>***  
Longitud de la etiqueta Aes GCM en bits.  
Obligatorio: sí

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<IV>***  
Valor inicial usado para envolver la clave, en hexadecimal.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-aes-gcm-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave AES-NO-PAD mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-aes-no-pad"></a>

Utilice el **key unwrap aes-no-pad** comando de la CLI de CloudHSM para desempaquetar una clave de carga útil AWS CloudHSM en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. `AES-NO-PAD`

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por. AWS CloudHSM Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap aes-no-pad** comando, debe tener la clave de empaquetado AES en su AWS CloudHSM clúster y su `unwrap` atributo debe estar `true` establecido en.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos (CUs)

## Requisitos
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-no-pad
Usage: key unwrap aes-no-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap aes-no-pad** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap aes-no-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data eXK3PMAOnKM9y3YX6brbhtMoC060EOH9
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ec",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap aes-no-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ec",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave con AES- PKCS5 -PAD mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad"></a>

Use el comando **key unwrap aes-pkcs5-pad** en la CLI de CloudHSM para desempaquetar una clave de carga útil mediante la clave de empaquetado AES y el mecanismo de desempaquetado `AES-PKCS5-PAD`.

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por. AWS CloudHSM Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap aes-pkcs5-pad** comando, debe tener la clave de empaquetado AES en su AWS CloudHSM clúster y su `unwrap` atributo debe estar `true` establecido en.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos (CUs)

## Requisitos
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-pkcs5-pad
Usage: key unwrap aes-pkcs5-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap aes-pkcs5-pad** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap aes-pkcs5-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data MbuYNresfOKyGNnxKWen88nSfX+uUE/0qmGofSisicY=
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap aes-pkcs5-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave AES-ZERO-PAD mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad"></a>

Utilice el **key unwrap aes-zero-pad** comando de la CLI de CloudHSM para desempaquetar una clave de carga útil AWS CloudHSM en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. `AES-ZERO-PAD`

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por. AWS CloudHSM Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap aes-no-pad** comando, debe tener la clave de empaquetado AES en su AWS CloudHSM clúster y su `unwrap` atributo debe estar `true` establecido en.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos (CUs)

## Requisitos
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-zero-pad
Usage: key unwrap aes-zero-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap aes-zero-pad** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap aes-zero-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data L1wVlL/YeBNVAw6Mpk3owFJZXBzDLONt
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap aes-zero-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave CLOUDHSM-AES-GCM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm"></a>

Utilice el **key unwrap cloudhsm-aes-gcm** comando de la CLI de CloudHSM para desempaquetar una clave de carga útil AWS CloudHSM en el clúster mediante la clave de empaquetado AES y el mecanismo de desempaquetado. `CLOUDHSM-AES-GCM`

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por. AWS CloudHSM Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap cloudhsm-aes-gcm** comando, debe tener la clave de empaquetado AES en su AWS CloudHSM clúster y su `unwrap` atributo debe estar `true` establecido en.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key unwrap cloudhsm-aes-gcm
Usage: key unwrap cloudhsm-aes-gcm [OPTIONS] --filter [<FILTER>...] --tag-length-bits <TAG_LENGTH_BITS> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap cloudhsm-aes-gcm** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap cloudhsm-aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --data 6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001408e8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap cloudhsm-aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001408e8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<AAD>***  
Valor de datos autenticados adicionales (AAD) de Aes GCM, en hexadecimal.  
Obligatorio: no

***<TAG\$1LENGTH\$1BITS>***  
Longitud de la etiqueta Aes GCM en bits.  
Obligatorio: sí

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave con RSA-AES mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-rsa-aes"></a>

Use el comando **key unwrap rsa-aes** en la CLI de CloudHSM para desempaquetar una clave de carga útil mediante la clave privada RSA y el mecanismo de desempaquetado `RSA-AES`.

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por AWS CloudHSM. Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para utilizarlas**key unwrap rsa-aes**, debe tener la clave privada RSA de la clave de empaquetado pública de RSA en su AWS CloudHSM clúster y su `unwrap` atributo debe estar establecido en. `true` 

**nota**  
Este comando solo está disponible con la CLI de CloudHSM 5.11 o posterior.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-rsa-aes-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-unwrap-rsa-aes-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-aes
Usage: key unwrap rsa-aes [OPTIONS] --filter [<FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-unwrap-rsa-aes-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap rsa-aes** mediante la clave privada RSA con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap rsa-aes --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --hash-function sha256 --mgf mgf1-sha256 --data HrSE1DEyLjIeyGdPa9R+ebiqB5TIJGyamPker31ZebPwRA+NcerbAJO8DJ1lXPygZcI21vIFSZJuWMEiWpe1R9D/5WSYgxLVKex30xCFqebtEzxbKuv4DOmU4meSofqREYvtb3EoIKwjyxCMRQFgoyUCuP4y0f0eSv0k6rSJh4NuCsHptXZbtgNeRcR4botN7LlzkEIUcq4fVHaatCwd0J1QGKHKyRhkol+RL5WGXKe4nAboAkC5GO7veI5yHL1SaKlssSJtTL/CFpbSLsAFuYbv/NUCWwMY5mwyVTCSlw+HlgKK+5TH1MzBaSi8fpfyepLT8sHy2Q/VRl6ifb49p6m0KQFbRVvz/OWUd6l4d97BdgtaEz6ueg==
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e2",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap rsa-aes --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --hash-function sha256 --mgf mgf1-sha256 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e2",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<HASH\$1FUNCTION>***  
Especifica la función hash.  
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<MGF>***  
Especifica la función de generación de máscaras.   
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-rsa-aes-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave con RSA-OAEP mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-rsa-oaep"></a>

Use el comando **key unwrap rsa-oaep** en la CLI de CloudHSM para desempaquetar la clave de carga útil mediante la clave privada RSA y el mecanismo de desempaquetado `RSA-OAEP`.

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por AWS CloudHSM. Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **key unwrap rsa-oaep** comando, debe tener la clave privada RSA de la clave de empaquetado pública de RSA en su AWS CloudHSM clúster y su `unwrap` atributo debe estar establecido en. `true`

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-oaep
Usage: key unwrap rsa-oaep [OPTIONS] --filter [<FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap rsa-oaep** mediante la clave privada RSA con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap rsa-oaep --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-example-key --hash-function sha256 --mgf mgf1-sha256 --data OjJe4msobPLz9TuSAdULEu17T5rMDWtSlLyBSkLbaZnYzzpdrhsbGLbwZJCtB/jGkDNdB4qyTAOQwEpggGf6v+Yx6JcesNeKKNU8XZal/YBoHC8noTGUSDI2qr+u2tDc84NPv6d+F2KOONXsSxMhmxzzNG/gzTVIJhOuy/B1yHjGP4mOXoDZf5+7f5M1CjxBmz4Vva/wrWHGCSG0yOaWblEvOiHAIt3UBdyKmU+/My4xjfJv7WGGu3DFUUIZ06TihRtKQhUYU1M9u6NPf9riJJfHsk6QCuSZ9yWThDT9as6i7e3htnyDhIhGWaoK8JU855cN/YNKAUqkNpC4FPL3iw==
{
  "data": {
    "key": {
      "key-reference": "0x00000000001808e9",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap rsa-oaep --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-example-key --hash-function sha256 --mgf mgf1-sha256 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e9",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<HASH\$1FUNCTION>***  
Especifica la función hash.  
Valores válidos:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
Obligatorio: sí

***<MGF>***  
Especifica la función de generación de máscaras.   
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Desempaquetar una clave con RSA-PKCS mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs"></a>

Use el comando **key unwrap rsa-pkcs** en la CLI de CloudHSM para desempaquetar la clave de carga útil mediante la clave privada RSA y el mecanismo de desempaquetado `RSA-PKCS`.

Las claves no empaquetadas se pueden usar de la misma manera que las claves generadas por AWS CloudHSM. Para indicar que no se generaron localmente, su atributo `local` se establece en `false`.

Para usar el **unwrap rsa-pkcs** comando key, debe tener la clave privada RSA de la clave de empaquetado pública de RSA en su AWS CloudHSM clúster y su `unwrap` atributo debe estar establecido en. `true`

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-pkcs
Usage: key unwrap rsa-pkcs [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## Ejemplos
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-examples"></a>

En estos ejemplos, se muestra cómo usar el comando **key unwrap rsa-oaep** mediante una clave AES con el valor del atributo `unwrap` establecido en `true`.

**Example Ejemplo: desempaquete una clave de carga útil de los datos clave empaquetados y codificados en Base64**  

```
aws-cloudhsm > key unwrap rsa-pkcs --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --data am0Nc7+YE8FWs+5HvU7sIBcXVb24QA0l65nbNAD+1bK+e18BpSfnaI3P+r8Dp+pLu1ofoUy/vtzRjZoCiDofcz4EqCFnGl4GdcJ1/3W/5WRvMatCa2d7cx02swaeZcjKsermPXYRO1lGlfq6NskwMeeTkV8R7Rx9artFrs1y0DdIgIKVaiFHwnBIUMnlQrR2zRmMkfwU1jxMYmOYyD031F5VbnjSrhfMwkww2la7uf/c3XdFJ2+0Bo94c6og/yfPcpOOobJlITCoXhtMRepSdO4OggYq/6nUDuHCtJ86pPGnNahyr7+sAaSI3a5ECQLUjwaIARUCyoRh7EFK3qPXcg==
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ef",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example Ejemplo: desempaquete una clave de carga útil proporcionada a través de una ruta de datos**  

```
aws-cloudhsm > key unwrap rsa-pkcs --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ef",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave con la que se desempaquetará.  
Obligatorio: sí

***<DATA\$1PATH>***  
Ruta al archivo binario que contiene los datos clave empaquetados.  
Obligatorio: Sí (a menos que se proporcione mediante datos codificados en Base64)

***<DATA>***  
Datos clave empaquetados y codificados en Base64.  
Obligatorio: Sí (a menos que se proporcione por la ruta de datos)

***<ATTRIBUTES>***  
Lista de atributos clave separados por espacios en forma de `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para la clave empaquetada.  
Obligatorio: no

***<KEY\$1TYPE\$1CLASS>***  
Tipo de clave y clase de clave empaquetada [valores posibles: `aes`, `des3`, `ec-private`, `generic-secret`, `rsa-private`].  
Obligatorio: sí

***<LABEL>***  
Etiqueta para la clave desempaquetada.  
Obligatorio: sí

***<SESSION>***  
Crea una clave de sesión que solo existe en la sesión actual. La clave no se podrá recuperar una vez finalizada la sesión.  
Obligatorio: no

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de desencapsulado es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# El comando de empaquetado de claves en la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap"></a>

El comando **key wrap** en la CLI de CloudHSM exporta una copia cifrada de una clave privada, simétrica o asimétrica desde el módulo de seguridad de hardware (HSM) a un archivo. Cuando se ejecuta **key wrap**, se especifican dos cosas: la clave para exportar y el archivo de salida. La clave para exportar es una clave del HSM que cifrará (empaquetará) la clave que desee exportar.

El comando **key wrap** no elimina la clave del HSM ni le impide a usted usar la clave en operaciones criptográficas. Puede exportar la misma clave varias veces. Para volver a importar la clave cifrada al HSM, use [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md). Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave solo pueden usarla en operaciones criptográficas.

El comando **key wrap** consiste en los siguientes subcomandos:
+ [aes-gcm](cloudhsm_cli-key-wrap-aes-gcm.md)
+ [aes-no-pad](cloudhsm_cli-key-wrap-aes-no-pad.md)
+ [aes-pkcs5-pad](cloudhsm_cli-key-wrap-aes-pkcs5-pad.md)
+ [aes-zero-pad](cloudhsm_cli-key-wrap-aes-zero-pad.md)
+ [cloudhsm-aes-gcm](cloudhsm_cli-key-wrap-cloudhsm-aes-gcm.md)
+ [rsa-aes](cloudhsm_cli-key-wrap-rsa-aes.md)
+ [rsa-oaep](cloudhsm_cli-key-wrap-rsa-oaep.md)
+ [rsa-pkcs](cloudhsm_cli-key-wrap-rsa-pkcs.md)

# Empaquetar una clave con AES-GCM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-aes-gcm"></a>

Use el comando **key wrap aes-gcm** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave AES en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `AES-GCM`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap aes-gcm** comando, primero debe tener una clave AES en su AWS CloudHSM clúster. Puede generar una clave AES para empaquetado mediante el comando [Generación de una clave AES simétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric-aes.md) con el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-aes-gcm-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-wrap-aes-gcm-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key wrap aes-gcm
Usage: key wrap aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-aes-gcm-examples"></a>

En el ejemplo, se muestra cómo usar el comando **key wrap aes-gcm** mediante una clave AES.

**Example**  

```
aws-cloudhsm > key wrap aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64  --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "iv": "0xf90613bb8e337ec0339aad21",
    "wrapped_key_data": "xvslgrtg8kHzrvekny97tLSIeokpPwV8"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<AAD>***  
Valor de datos autenticados adicionales (AAD) de AES GCM, en hexadecimal.   
Obligatorio: no

***<TAG\$1LENGTH\$1BITS>***  
Longitud de la etiqueta AES GCM en bits.  
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-aes-gcm-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave AES-NO-PAD mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-aes-no-pad"></a>

Use el comando **key wrap aes-no-pad** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave AES en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `AES-NO-PAD`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap aes-no-pad** comando, primero debe tener una clave AES en el clúster AWS CloudHSM . Puede generar una clave AES para empaquetado mediante el comando [Generación de una clave AES simétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric-aes.md) con el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-aes-no-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-wrap-aes-no-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-aes-no-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-no-pad
Usage: key wrap aes-no-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-aes-no-pad-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key wrap aes-no-pad** mediante una clave AES con el valor del atributo `wrap` establecido en `true`.

**Example**  

```
aws-cloudhsm > key wrap aes-no-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "eXK3PMAOnKM9y3YX6brbhtMoC060EOH9"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-aes-no-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-aes-no-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaque una clave con AES- PKCS5 -PAD mediante CloudHSM CLI
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad"></a>

Use el comando **key wrap aes-pkcs5-pad** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave AES en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `AES-PKCS5-PAD`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap aes-pkcs5-pad** comando, primero debe tener una clave AES en su clúster. AWS CloudHSM Puede generar una clave AES para empaquetado mediante el comando [Generación de una clave AES simétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric-aes.md) con el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-pkcs5-pad
Usage: key wrap aes-pkcs5-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key wrap aes-pkcs5-pad** mediante una clave AES con el valor del atributo `wrap` establecido en `true`.

**Example**  

```
aws-cloudhsm > key wrap aes-pkcs5-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "MbuYNresfOKyGNnxKWen88nSfX+uUE/0qmGofSisicY="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave AES-ZERO-PAD mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-aes-zero-pad"></a>

Use el comando **key wrap aes-zero-pad** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave AES en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `AES-ZERO-PAD`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap aes-zero-pad** comando, primero debe tener una clave AES en el clúster AWS CloudHSM . Puede generar una clave AES para empaquetado mediante el comando [Generación de una clave AES simétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric-aes.md) con el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-zero-pad
Usage: key wrap aes-zero-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key wrap aes-zero-pad ** mediante una clave AES con el valor del atributo `wrap` establecido en `true`.

**Example**  

```
aws-cloudhsm > key wrap aes-zero-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "L1wVlL/YeBNVAw6Mpk3owFJZXBzDLONt"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave CLOUDHSM-AES-GCM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm"></a>

Use el comando **key wrap cloudhsm-aes-gcm** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave AES en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `CLOUDHSM-AES-GCM`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap cloudhsm-aes-gcm** comando, primero debe tener una clave AES en el clúster AWS CloudHSM . Puede generar una clave AES para empaquetado mediante el comando [Generación de una clave AES simétrica con la CLI de CloudHSM](cloudhsm_cli-key-generate-symmetric-aes.md) con el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios de criptomonedas (CUs)

## Requisitos
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key wrap cloudhsm-aes-gcm
Usage: key wrap cloudhsm-aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-examples"></a>

En el ejemplo, se muestra cómo usar el comando **key wrap cloudhsm-aes-gcm** mediante una clave AES.

**Example**  

```
aws-cloudhsm > key wrap cloudhsm-aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64 --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<AAD>***  
Valor de datos autenticados adicionales (AAD) de AES GCM, en hexadecimal.   
Obligatorio: no

***<TAG\$1LENGTH\$1BITS>***  
Longitud de la etiqueta AES GCM en bits.  
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave con RSA-AES mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-rsa-aes"></a>

Use el comando **key wrap rsa-aes** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave pública RSA en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado RSA-AES. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap rsa-aes** comando, primero debe tener una clave RSA en el AWS CloudHSM clúster. Puede generar un par de claves de RSA con el comando [La generate-asymmetric-pair categoría en CloudHSM CLI](cloudhsm_cli-key-generate-asymmetric-pair.md) y el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-rsa-aes-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-wrap-rsa-aes-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-aes
Usage: key wrap rsa-aes [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-rsa-aes-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key wrap rsa-ae** mediante una clave pública RSA con el valor del atributo `wrap` establecido en `true`.

**Example**  

```
aws-cloudhsm > key wrap rsa-aes --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example --hash-function sha256 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "payload-key-reference": "0x00000000001c08f1",
    "wrapping-key-reference": "0x00000000007008da",
    "wrapped-key-data": "HrSE1DEyLjIeyGdPa9R+ebiqB5TIJGyamPker31ZebPwRA+NcerbAJO8DJ1lXPygZcI21vIFSZJuWMEiWpe1R9D/5WSYgxLVKex30xCFqebtEzxbKuv4DOmU4meSofqREYvtb3EoIKwjyxCMRQFgoyUCuP4y0f0eSv0k6rSJh4NuCsHptXZbtgNeRcR4botN7LlzkEIUcq4fVHaatCwd0J1QGKHKyRhkol+RL5WGXKe4nAboAkC5GO7veI5yHL1SaKlssSJtTL/CFpbSLsAFuYbv/NUCWwMY5mwyVTCSlw+HlgKK+5TH1MzBaSi8fpfyepLT8sHy2Q/VRl6ifb49p6m0KQFbRVvz/OWUd6l4d97BdgtaEz6ueg=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<MGF>***  
Especifica la función de generación de máscaras.  
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-rsa-aes-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave con RSA-OAEP mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-rsa-oaep"></a>

Use el comando **key wrap rsa-oaep** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave pública RSA en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `RSA-OAEP`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap rsa-oaep** comando, primero debe tener una clave RSA en el AWS CloudHSM clúster. Puede generar un par de claves de RSA con el comando [La generate-asymmetric-pair categoría en CloudHSM CLI](cloudhsm_cli-key-generate-asymmetric-pair.md) y el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-unwrap-rsa-aes-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-unwrap-rsa-aes-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-unwrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-oaep
Usage: key wrap rsa-oaep [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-unwrap-rsa-aes-examples"></a>

En este ejemplo, se muestra cómo usar el comando **key wrap rsa-oaep** mediante una clave pública RSA con el valor del atributo `wrap` establecido en `true`.

**Example**  

```
aws-cloudhsm > key wrap rsa-oaep --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example --hash-function sha256 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "payload-key-reference": "0x00000000001c08f1",
    "wrapping-key-reference": "0x00000000007008da",
    "wrapped-key-data": "OjJe4msobPLz9TuSAdULEu17T5rMDWtSlLyBSkLbaZnYzzpdrhsbGLbwZJCtB/jGkDNdB4qyTAOQwEpggGf6v+Yx6JcesNeKKNU8XZal/YBoHC8noTGUSDI2qr+u2tDc84NPv6d+F2KOONXsSxMhmxzzNG/gzTVIJhOuy/B1yHjGP4mOXoDZf5+7f5M1CjxBmz4Vva/wrWHGCSG0yOaWblEvOiHAIt3UBdyKmU+/My4xjfJv7WGGu3DFUUIZ06TihRtKQhUYU1M9u6NPf9riJJfHsk6QCuSZ9yWThDT9as6i7e3htnyDhIhGWaoK8JU855cN/YNKAUqkNpC4FPL3iw=="
  }
}
```

## Argumentos
<a name="cloudhsm_cli-key-unwrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<MGF>***  
Especifica la función de generación de máscaras.  
La función hash de la función de generación de máscaras debe coincidir con la función hash del mecanismo de firma.
Valores válidos  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-unwrap-rsa-aes-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Empaquetar una clave con RSA-PKCS mediante la CLI de CloudHSM
<a name="cloudhsm_cli-key-wrap-rsa-pkcs"></a>

Use el comando **key wrap rsa-pkcs** de la CLI de CloudHSM para empaquetar una clave de carga útil mediante una clave pública RSA en el módulo de seguridad de hardware (HSM) y el mecanismo de empaquetado `RSA-PKCS`. El atributo `extractable` de la clave de carga útil se debe establecer en `true`.

Solo el propietario de una clave, es decir, el usuario de criptografía (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden usarla en operaciones criptográficas.

Para usar el **key wrap rsa-pkcs** comando, primero debe tener una clave RSA en el AWS CloudHSM clúster. Puede generar un par de claves de RSA con el comando [La generate-asymmetric-pair categoría en CloudHSM CLI](cloudhsm_cli-key-generate-asymmetric-pair.md) y el atributo `wrap` establecido en `true`.

## Tipo de usuario
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Usuarios criptográficos () CUs

## Requisitos
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-requirements"></a>
+ Para ejecutar este comando, debe iniciar sesión como CU.

## Sintaxis
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-pkcs
Usage: key wrap rsa-pkcs [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## Ejemplo
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-examples"></a>

En el ejemplo, se muestra cómo usar el comando **key wrap rsa-pkcs** mediante una clave pública RSA.

**Example**  

```
aws-cloudhsm > key wrap rsa-pkcs --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000007008da",
    "wrapped_key_data": "am0Nc7+YE8FWs+5HvU7sIBcXVb24QA0l65nbNAD+1bK+e18BpSfnaI3P+r8Dp+pLu1ofoUy/vtzRjZoCiDofcz4EqCFnGl4GdcJ1/3W/5WRvMatCa2d7cx02swaeZcjKsermPXYRO1lGlfq6NskwMeeTkV8R7Rx9artFrs1y0DdIgIKVaiFHwnBIUMnlQrR2zRmMkfwU1jxMYmOYyD031F5VbnjSrhfMwkww2la7uf/c3XdFJ2+0Bo94c6og/yfPcpOOobJlITCoXhtMRepSdO4OggYq/6nUDuHCtJ86pPGnNahyr7+sAaSI3a5ECQLUjwaIARUCyoRh7EFK3qPXcg=="
  }
```

## Argumentos
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PAYLOAD\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de carga útil.  
Obligatorio: sí

***<PATH>***  
Ruta al archivo binario donde se guardarán los datos de la clave empaquetada.  
Obligatorio: no

***<WRAPPING\$1FILTER>***  
Referencia de clave (por ejemplo, `key-reference=0xabc`) o lista de atributos clave separados por espacios en forma de `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` para seleccionar una clave de empaquetado.   
Obligatorio: sí

***<WRAPPING\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de encapsulado. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de encapsulado es mayor que 1.

***<PAYLOAD\$1APPROVALR>***  
Especifica la ruta del archivo a un archivo de token de quórum firmado para aprobar la operación de la clave de carga útil. Solo es obligatorio si el valor de quórum del servicio de administración de claves de la clave de carga útil es mayor que 1.

## Temas relacionados
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-seealso"></a>
+ [El comando de empaquetado de claves en la CLI de CloudHSM](cloudhsm_cli-key-wrap.md)
+ [El comando de desempaquetado de clave en la CLI de CloudHSM](cloudhsm_cli-key-unwrap.md)

# Iniciar sesión en un HSM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-login"></a>

Puede usar el **login** comando de la CLI de CloudHSM para iniciar y cerrar sesión en cada hardware security (HSM) de un clúster. AWS CloudHSM Este comando consta de los siguientes subcomandos:
+ [mfa-token-sign](cloudhsm_cli-login-mfa-token-sign.md)

**nota**  
Si se superan cinco intentos de inicio de sesión incorrectos, se bloquea la cuenta. Para desbloquear la cuenta, un administrador debe restablecer la contraseña mediante el comando [user change-password](cloudhsm_cli-user-change-password.md) de cloudhsm\$1cli.

## Cómo solucionar problemas de inicio y cierre de sesión
<a name="troubleshoot-login-logout"></a>

Si tiene más de un HSM en el clúster, es posible que puedan realizarse intentos adicionales de inicio de sesión incorrectos antes de que se bloquee la cuenta. Esto se debe a que el cliente de CloudHSM equilibra la carga entre varios. HSMs Por lo tanto, el intento de inicio de sesión no puede comenzar en el mismo HSM cada vez. Si va a probar esta funcionalidad, recomendamos que lo haga en un clúster con un solo HSM activo. 

Si creó el clúster antes de febrero de 2018, la cuenta se bloquea después de 20 intentos de inicio de sesión incorrectos. 

## Tipo de usuario
<a name="chsm-cli-login-logout-userType"></a>

Los usuarios siguientes pueden ejecutar estos comandos.
+ Administrador desactivado
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="chsm-cli-login-syntax"></a>

```
aws-cloudhsm > help login
Login to your cluster  
        
USAGE:
    cloudhsm-cli login [OPTIONS] --username <USERNAME> --role <ROLE> [COMMAND]
    
Commands:
  mfa-token-sign  Login with token-sign mfa
  help            Print this message or the help of the given subcommand(s)

OPTIONS:
        --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

        --username <USERNAME>
            Username to access the Cluster
        
        --role <ROLE>
            Role the user has in the Cluster
            
           Possible values:
           - crypto-user: A CryptoUser has the ability to manage and use keys
           - admin:       An Admin has the ability to manage user accounts

        --password <PASSWORD>
           Optional: Plaintext user's password. If you do not include this argument you will be prompted for it

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="chsm-cli-login-example"></a>

**Example**  
Este comando permite iniciar sesión HSMs en todos los componentes de un clúster con las credenciales de un usuario administrador denominado. `admin1`  

```
aws-cloudhsm > login --username admin1 --role admin
Enter password:
{
  "error_code": 0,
  "data": {
    "username": "admin1",
    "role": "admin"
  }
}
```

## Argumentos
<a name="login-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1). En este comando, el nombre de usuario no distingue entre mayúsculas y minúsculas; el nombre de usuario siempre se muestra en minúsculas.  
Obligatorio: sí

***<ROLE>***  
Especifica el rol asignado a este usuario. Los valores válidos son **admin** y **crypto-user**.  
Para obtener el rol del usuario, usa el **user list** comando. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).  
Obligatorio: sí

***<PASSWORD>***  
Especifica la contraseña del usuario que inicia sesión en HSMs.  
Obligatorio: los clientes deben proporcionar la contraseña mediante el argumento de la línea de `--password` comandos u omitirla para que se les solicite de forma interactiva.  
El uso del `--password` argumento en la línea de comandos puede dejar expuestas las credenciales del historial del shell. Considere la posibilidad de solicitar la contraseña de forma interactiva o borrar el historial del shell después de usarla.

## Temas relacionados
<a name="login-seeAlso"></a>
+ [Introducción a la CLI de CloudHSM](cloudhsm_cli-getting-started.md)
+ [Activación del clúster](activate-cluster.md)

# Iniciar sesión con MFA en un HSM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-login-mfa-token-sign"></a>

Utilice el **login mfa-token-sign** comando de la CLI de AWS CloudHSM CloudHSM para iniciar sesión en un módulo de seguridad de hardware (HSM) mediante la autenticación multifactor (MFA). Para usar este comando, primero debe configurar la [MFA para la CLI de CloudHSM](login-mfa-token-sign.md).

## Tipo de usuario
<a name="cloudhsm_cli-login-mfa-token-userType"></a>

Los usuarios siguientes pueden ejecutar estos comandos.
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="cloudhsm_cli-login-mfa-token-syntax"></a>

```
aws-cloudhsm > help login mfa-token-sign
Login with token-sign mfa

USAGE:
    login --username <username> --role <role> mfa-token-sign --token <token>

OPTIONS:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --token <TOKEN>            Filepath where the unsigned token file will be written
  -h, --help                     Print help
```

## Ejemplo
<a name="cloudhsm_cli-login-mfa-token-example"></a>

**Example**  

```
aws-cloudhsm > login --username test_user --role admin mfa-token-sign --token /home/valid.token
Enter password:
Enter signed token file path (press enter if same as the unsigned token file):
{
  "error_code": 0,
  "data": {
    "username": "test_user",
    "role": "admin"
  }
}
```

## Argumentos
<a name="cloudhsm_cli-login-mfa-token-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<TOKEN>***  
Ruta de archivo en la que se escribirá el archivo de token sin firmar.  
Obligatorio: sí

## Temas relacionados
<a name="cloudhsm_cli-login-mfa-token-seeAlso"></a>
+ [Introducción a la CLI de CloudHSM](cloudhsm_cli-getting-started.md)
+ [Activación del clúster](activate-cluster.md)
+ [Uso de la CLI de CloudHSM para gestionar la MFA](login-mfa-token-sign.md)

# Cerrar sesión en un HSM mediante la CLI de CloudHSM
<a name="cloudhsm_cli-logout"></a>

Utilice el **logout** comando de la CLI de CloudHSM para cerrar sesión en cada módulo de seguridad de hardware (HSM) de un clúster. AWS CloudHSM 

## Tipo de usuario
<a name="chsm-cli-logout-userType"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="chsm-cli-logout-syntax"></a>

```
aws-cloudhsm > help logout
Logout of your cluster

USAGE:
    logout

OPTIONS:
        --cluster-id <CLUSTER_ID> Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
    -h, --help                    Print help information
    -V, --version                 Print version information
```

## Ejemplo
<a name="chsm-cli-logout-example"></a>

**Example**  
Este comando cierra la sesión de todos HSMs los componentes de un clúster.  

```
aws-cloudhsm > logout
{
  "error_code": 0,
  "data": "Logout successful"
}
```

## Temas relacionados
<a name="logout-seeAlso"></a>
+ [Introducción a la CLI de CloudHSM](cloudhsm_cli-getting-started.md)
+ [Activación del clúster](activate-cluster.md)

# La categoría de usuario en la CLI de CloudHSM
<a name="cloudhsm_cli-user"></a>

En la CLI de CloudHSM, **user** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crean un comando específico para los usuarios. Actualmente, la categoría de usuario consta de los siguientes comandos:
+ [user change-mfa](cloudhsm_cli-user-change-mfa.md)
+ [user change-password](cloudhsm_cli-user-change-password.md)
+ [user create](cloudhsm_cli-user-create.md)
+ [user delete](cloudhsm_cli-user-delete.md)
+ [user list](cloudhsm_cli-user-list.md)
+ [Replicación de usuario](cloudhsm_cli-user-replicate.md)

# La categoría de cambio de MFA del usuario en la CLI de CloudHSM
<a name="cloudhsm_cli-user-change-mfa"></a>

En la CLI de CloudHSM, **user change-mfa** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crea un comando específico para cambiar la autenticación multifactor (MFA) de los usuarios.

Actualmente, esta categoría consta de los siguientes comandos:
+ [token-sign](cloudhsm_cli-user-change-mfa-token-sign.md)

# Cambiar la configuración de MFA de un usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-user-change-mfa-token-sign"></a>

Use el comando **user change-mfa token-sign** de la CLI de CloudHSM para actualizar la configuración de la autenticación multifactor (MFA) de una cuenta de usuario. Cualquier cuenta de usuario puede ejecutar este comando. Las cuentas con el rol de administrador pueden ejecutar este comando para otros usuarios.

## Tipo de usuario
<a name="user-change-mfa-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuario de criptografía

## Sintaxis
<a name="user-change-mfa-syntax"></a>

Actualmente, solo existe una estrategia de autenticación multifactor disponible para los usuarios: firma de token.

```
aws-cloudhsm > help user change-mfa
Change a user's Mfa Strategy

Usage:
    user change-mfa <COMMAND>
  
Commands:
  token-sign  Register or Deregister a public key using token-sign mfa strategy
  help        Print this message or the help of the given subcommand(s)
```

Esta estrategia solicita un archivo de token donde escribir los tokens sin firmar.

```
aws-cloudhsm > help user change-mfa token-sign
Register or Deregister a public key using token-sign mfa strategy

Usage: user change-mfa token-sign [OPTIONS] --username <USERNAME> --role <ROLE> <--token <TOKEN>|--deregister>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --username <USERNAME>
          Username of the user that will be modified

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --change-password <CHANGE_PASSWORD>
          Optional: Plaintext user's password. If you do not include this argument you will be prompted for it

      --token <TOKEN>
          Filepath where the unsigned token file will be written. Required for enabling MFA for a user

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

      --deregister
          Deregister the MFA public key, if present

      --change-quorum
          Change the Quorum public key along with the MFA key

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="user-change-mfa-examples"></a>

Este comando escribirá un token sin firmar por cada HSM del clúster en el archivo especificado por `token`. Cuando se le solicite, firme los tokens del archivo.

**Example : escriba un token sin firmar por cada HSM de su clúster.**  

```
aws-cloudhsm > user change-mfa token-sign --username cu1 --change-password password --role crypto-user --token /path/myfile
Enter signed token file path (press enter if same as the unsigned token file):
Enter public key PEM file path:/path/mypemfile
{
  "error_code": 0,
  "data": {
    "username": "test_user",
    "role": "admin"
  }
}
```

### Argumentos
<a name="user-change-mfa-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<ROLE>***  
Especifica la función asignada a la cuenta de usuario. Este parámetro es obligatorio. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).  
**Valores válidos**  
+ **Administrador**: los administradores pueden administrar a los usuarios, pero no las claves.
+ **Usuario de criptografía**: los usuarios de criptografía pueden crear y administrar claves, y usar claves en operaciones criptográficas.

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1).  
No puede cambiar el nombre de un usuario después de crearlo. En los comandos de la CLI de CloudHSM, el tipo de usuario y la contraseña distinguen entre mayúsculas y minúsculas, pero el nombre de usuario no.  
**Obligatorio**: sí

***<CHANGE\$1PASSWORD>***  
Especifica la nueva contraseña (en texto sin formato) del usuario cuya MFA se está registrando o anulando.  
**Obligatorio**: sí

***<TOKEN>***  
Ruta de archivo en la que se escribirá el archivo de token sin firmar.  
**Obligatorio**: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de usuario es superior a 1.

***<DEREGISTER>***  
Anula el registro de la clave pública de la MFA, si está presente.

***<CHANGE-QUORUM>***  
Cambia la clave pública del cuórum junto con la clave de la MFA.

## Temas relacionados
<a name="user-change-mfa-seealso"></a>
+ [Descripción de la 2FA para los usuarios de HSM](login-mfa-token-sign.md)

# Cambiar la contraseña de un usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-user-change-password"></a>

Utilice el **user change-password** comando de la CLI de CloudHSM para cambiar la contraseña de un usuario AWS CloudHSM existente en el clúster. Para habilitar la autenticación multifactor para un usuario, ejecute el comando `user change-mfa`.

Cualquier usuario puede cambiar su propia contraseña. Además, los usuarios con rol de administrador pueden cambiar la contraseña de otro usuario del clúster. No es necesario que escriba la contraseña actual para realizar el cambio.

**nota**  
No puede cambiar la contraseña de un usuario que haya iniciado sesión en el clúster.

## Tipo de usuario
<a name="change-password-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="change-password-syntax"></a>

**nota**  
 Para habilitar la autenticación multifactor (MFA) para un usuario, utilice el comando **user change-mfa**.

```
aws-cloudhsm > help user change-password
Change a user's password

    Usage:
        cloudhsm-cli user change-password [OPTIONS] --username <USERNAME> --role <ROLE> [--password <PASSWORD>]
    
    Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --username <USERNAME>
          Username of the user that will be modified

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --password <PASSWORD>
          Optional: Plaintext user's password. If you do not include this argument you will be prompted for it

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
          
      --deregister-mfa <DEREGISTER-MFA>
          Deregister the user's mfa public key, if present
          
      --deregister-quorum <DEREGISTER-QUORUM>
          Deregister the user's quorum public key, if present
 -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="change-password-examples"></a>

Los siguientes ejemplos muestran cómo utilizar **user change-password** para restablecer la contraseña del usuario actual o de cualquier otro usuario del clúster.

**Example : cambio de la contraseña**  
Cualquier usuario del clúster puede utilizar **user change-password** para cambiar su propia contraseña.  
La siguiente salida muestra que Bob ha iniciado sesión como usuario de criptografía (CU).  

```
aws-cloudhsm > user change-password --username bob --role crypto-user
Enter password:
Confirm password:
{
  "error_code": 0,
  "data": {
    "username": "bob",
    "role": "crypto-user"
  }
}
```

## Argumentos
<a name="change-password-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de usuario es superior a 1.

***<DEREGISTER-MFA>***  
Anula el registro de la clave pública de la MFA, si está presente.

***<DEREGISTER-QUORUM>***  
Anula el registro de la clave pública de cuórum, si existe.

***<PASSWORD>***  
Especifica la nueva contraseña del usuario en texto plano. No se admiten los siguientes caracteres “:”  
**Obligatorio**: sí

***<ROLE>***  
Especifica la función asignada a la cuenta de usuario. Este parámetro es obligatorio. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).  
**Valores válidos**  
+ **Administrador**: los administradores pueden administrar a los usuarios, pero no las claves.
+ **Usuario de criptografía**: los usuarios de criptografía pueden crear y administrar claves, y usar claves en operaciones criptográficas.

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1).  
No puede cambiar el nombre de un usuario después de crearlo. En los comandos de la CLI de CloudHSM, el tipo de usuario y la contraseña distinguen entre mayúsculas y minúsculas, pero el nombre de usuario no.  
**Obligatorio**: sí

## Temas relacionados
<a name="change-password-seealso"></a>
+ [user list](cloudhsm_cli-user-list.md)
+ [user create](cloudhsm_cli-user-create.md)
+ [user delete](cloudhsm_cli-user-delete.md)

# La categoría de cambio de token en la CLI de CloudHSM
<a name="cloudhsm_cli-user-chqm"></a>

En la CLI de CloudHSM, **user change-quorum** es una categoría principal para un grupo de comandos que, en combinación con la categoría principal, crea un comando específico para cambiar el cuórum paral los usuarios.

**user change-quorum** se utiliza para registrar la autenticación de cuórum de los usuarios mediante una estrategia de cuórum específica. A partir de SDK 5.8.0, solo hay una estrategia de cuórum disponible para los usuarios, como se muestra a continuación.

Actualmente, esta categoría consta de la categoría y el subcomando siguientes:
+ [token-sign](cloudhsm_cli-user-chqm-token.md)
  + [register](cloudhsm_cli-user-chqm-token-reg.md)

# La categoría de firma de token y cambio de token del usuario en la CLI de CloudHSM
<a name="cloudhsm_cli-user-chqm-token"></a>

En la CLI de CloudHSM, **user change-quorum token-sign** es una categoría principal para comandos que, cuando se combinan con esta categoría principal, crea un comando específico para las operaciones de cuórum con firma de token.

Actualmente, esta categoría consta de los siguientes comandos:
+ [register](cloudhsm_cli-user-chqm-token-reg.md)

# Registro de una estrategia de cuórum con firma de token de un usuario mediante la CLI de CloudHSM
<a name="cloudhsm_cli-user-chqm-token-reg"></a>

Utilice el comando **user change-quorum token-sign register** de la CLI de CloudHSM para registrar la estrategia de cuórum con firma simbólica para un usuario administrador.

## Tipo de usuario
<a name="token-register-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Sintaxis
<a name="token-register-syntax"></a>

```
aws-cloudhsm > help user change-quorum token-sign register
Register a user for quorum authentication with a public key

Usage: user change-quorum token-sign register --public-key <PUBLIC_KEY> --signed-token <SIGNED_TOKEN>

Options:
      --cluster-id <CLUSTER_ID>      Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --public-key <PUBLIC_KEY>      Filepath to public key PEM file
      --signed-token <SIGNED_TOKEN>  Filepath with token signed by user private key
  -h, --help Print help (see a summary with '-h')
```

## Ejemplo
<a name="token-register-examples"></a>

**Example**  
Para ejecutar este comando, tendrá que iniciar sesión como el usuario para el que desea **register quorum token-sign**.  

```
aws-cloudhsm > login --username admin1 --role admin
Enter password:
{
  "error_code": 0,
  "data": {
    "username": "admin1",
    "role": "admin"
  }
}
```
El comando **user change-quorum token-sign register** registrará su clave pública en el HSM. Como resultado, lo calificará como aprobador de cuórum para las operaciones que requieren cuórum y que requieren que un usuario obtenga las firmas de cuórum para alcanzar el umbral de cuórum necesario.  

```
aws-cloudhsm > user change-quorum token-sign register \
    --public-key /home/mypemfile \
    --signed-token /home/mysignedtoken
{
  "error_code": 0,
  "data": {
    "username": "admin1",
    "role": "admin"
  }
}
```
Ahora puede ejecutar el comando **user list** y confirmar que se ha registrado el cuórum token-sign para este usuario.  

```
aws-cloudhsm > user list
{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      },
      {
        "username": "admin1",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {        
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      }
    ]
  }
}
```

## Argumentos
<a name="token-register-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<PUBLIC-KEY>***  
Ruta de acceso al archivo PEM de clave pública.  
**Obligatorio**: sí

***<SIGNED-TOKEN>***  
Ruta de acceso al archivo con token firmado por la clave privada del usuario.  
**Obligatorio**: sí

## Temas relacionados
<a name="token-register-seealso"></a>
+ [Uso de la CLI de CloudHSM para administrar la autenticación de cuórum](quorum-auth-chsm-cli.md)
+ [Uso de la autenticación de cuórum para responsables de criptografía: primera configuración](quorum-auth-chsm-cli-first-time.md)
+ [Cambio del valor mínimo de cuórum para los administradores](quorum-auth-chsm-cli-min-value.md)
+ [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md)

# Crear un AWS CloudHSM usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-user-create"></a>

El **user create** comando de la CLI de CloudHSM crea un usuario AWS CloudHSM en el clúster. Solo pueden ejecutar este comando las cuentas de usuario con rol de administrador.

## Tipo de usuario
<a name="user-create-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Requisitos
<a name="user-create-requirements"></a>

Para ejecutar este comando, debe iniciar sesión como usuario administrador.

## Sintaxis
<a name="user-create-syntax"></a>

```
aws-cloudhsm > help user create
Create a new user

Usage: cloudhsm-cli user create [OPTIONS] --username <USERNAME> --role <ROLE> [--password <PASSWORD>]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --username <USERNAME>
          Username to access the HSM cluster

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --password <PASSWORD>
          Optional: Plaintext user's password. If you do not include this argument you will be prompted for it

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="user-create-examples"></a>

Estos ejemplos muestran cómo utilizarlos **user create** para crear nuevos usuarios en su. HSMs

**Example : creación de un usuario de criptografía**  
En este ejemplo, se crea una cuenta en su AWS CloudHSM clúster con el rol de usuario criptográfico.  

```
aws-cloudhsm > user create --username alice --role crypto-user
Enter password:
Confirm password:
{
  "error_code": 0,
  "data": {
    "username": "alice",
    "role": "crypto-user"
  }
}
```

## Argumentos
<a name="user-create-arguments"></a>

*<CLUSTER\$1ID>*  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

*<USERNAME>*  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1). En este comando, el nombre de usuario no distingue entre mayúsculas y minúsculas; el nombre de usuario siempre se muestra en minúsculas.  
Obligatorio: sí

*<ROLE>*  
Especifica el rol asignado a este usuario. Este parámetro es obligatorio. Los valores válidos son **admin** y **crypto-user**.  
Para obtener el rol del usuario, ejecute el comando **user list**. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).

*<PASSWORD>*  
Especifica la contraseña del usuario que inicia sesión en HSMs. No se admiten los siguientes caracteres “:”  
Obligatorio: sí

*<APPROVAL>*  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de usuario es superior a 1.

## Temas relacionados
<a name="user-create-seealso"></a>
+ [user list](cloudhsm_cli-user-list.md)
+ [user delete](cloudhsm_cli-user-delete.md)
+ [cambio de la contraseña de un usuario](cloudhsm_cli-user-change-password.md)

# Eliminar un AWS CloudHSM usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-user-delete"></a>

El **user delete** comando de la CLI de CloudHSM elimina un usuario del clúster. AWS CloudHSM Solo pueden ejecutar este comando las cuentas de usuario con rol de administrador. No puede eliminar un usuario que haya iniciado sesión actualmente en un HSM. 

## Tipo de usuario
<a name="user-delete-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Requisitos
<a name="user-delete-requirements"></a>
+ No puede eliminar las cuentas de usuario que posean claves.
+ Su cuenta de usuario debe tener rol de administrador para poder ejecutar este comando.

## Sintaxis
<a name="user-delete-syntax"></a>

Dado que estos comandos no tienen parámetros designados, debe introducir los argumentos en el orden especificado en los diagramas de sintaxis.

```
aws-cloudhsm > help user delete
Delete a user

Usage: user delete [OPTIONS] --username <USERNAME> --role <ROLE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --username <USERNAME>
          Username to access the HSM cluster

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
```

## Ejemplo
<a name="user-delete-examples"></a>

```
aws-cloudhsm > user delete --username alice --role crypto-user
{
  "error_code": 0,
  "data": {
    "username": "alice",
    "role": "crypto-user"
  }
}
```

## Argumentos
<a name="user-delete-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<USERNAME>***  
Especifica un nombre fácil de recordar para el usuario. La longitud máxima es de 31 caracteres. El único carácter especial permitido es un guion bajo (\$1). En este comando, el nombre de usuario no distingue entre mayúsculas y minúsculas; el nombre de usuario siempre se muestra en minúsculas.  
Obligatorio: sí

***<ROLE>***  
Especifica el rol asignado a este usuario. Este parámetro es obligatorio. Los valores válidos son **admin** y **crypto-user**.  
Para obtener el rol del usuario, ejecute el comando **user list**. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).  
Obligatorio: sí

***<APPROVAL>***  
Especifica la ruta de archivo de token de cuórum firmado para aprobar la operación. Solo es obligatorio si el valor del cuórum del servicio de usuario es superior a 1.  
Obligatorio: sí

## Temas relacionados
<a name="user-delete-seealso"></a>
+ [user list](cloudhsm_cli-user-list.md)
+ [user create](cloudhsm_cli-user-create.md)
+ [user change-password](cloudhsm_cli-user-change-password.md)

# Listar todos los AWS CloudHSM usuarios con la CLI de CloudHSM
<a name="cloudhsm_cli-user-list"></a>

El **user list** comando de la CLI de CloudHSM muestra las cuentas de usuario presentes AWS CloudHSM en el clúster. No es necesario haber iniciado sesión en la CLI de CloudHSM para ejecutar este comando.

**nota**  
Si agrega o elimina HSMs, actualice los archivos de configuración que utilizan el AWS CloudHSM cliente y las herramientas de línea de comandos. De lo contrario, es posible que los cambios que realice no sean efectivos HSMs en todos los componentes del clúster.

## Tipo de usuario
<a name="user-list-userType"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Todos los usuarios. No es preciso haber iniciado sesión para ejecutar este comando.

## Sintaxis
<a name="chsm-cli-user-list-syntax"></a>

```
aws-cloudhsm > help user list
List the users in your cluster

USAGE:
    user list

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="chsm-cli-user-list-examples"></a>

Este comando muestra los HSM presentes en el clúster de CloudHSM.

```
aws-cloudhsm > user list
{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "cluster-coverage": "full"
      },
      {
        "username": "test_user",
        "role": "admin",
        "locked": "false",
        "mfa": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "app_user",
        "role": "internal(APPLIANCE_USER)",
        "locked": "false",
        "mfa": [],
        "cluster-coverage": "full"
      }
    ]
  }
}
```

La salida contiene los siguientes atributos de usuario:
+ **Username**: muestra el nombre fácil de recordar definido por el usuario para el usuario. El nombre de usuario se muestra siempre en minúsculas. 
+ **Role**: determina las operaciones que el usuario puede realizar en el HSM.
+ **Bloqueado**: indica si esta cuenta de usuario se ha bloqueado.
+ **MFA**: indica los mecanismos de autenticación multifactor compatibles con esta cuenta de usuario.
+ **Cobertura de clúster**: indica la disponibilidad de esta cuenta de usuario en todo el clúster.

## Temas relacionados
<a name="chsm-user-list-seealso"></a>
+ [listUsers](key_mgmt_util-listUsers.md) en key\$1mgmt\$1util
+ [user create](cloudhsm_cli-user-create.md)
+ [user delete](cloudhsm_cli-user-delete.md)
+ [cambio de la contraseña de un usuario](cloudhsm_cli-user-change-password.md)

# Replicación de un usuario con la CLI de CloudHSM
<a name="cloudhsm_cli-user-replicate"></a>

Utilice el **user replicate** comando de la CLI de CloudHSM para replicar un usuario de un clúster de origen a AWS CloudHSM AWS CloudHSM un clúster de destino.

## Tipo de usuario
<a name="chsm-cli-user-replicate-user-type"></a>

Los tipos de usuarios siguientes pueden ejecutar este comando.
+ Administradores () COs

## Requisitos
<a name="cloudhsm_cli-user-replicate-requirements"></a>
+ Los clústeres de origen y destino deben ser clones. Esto significa que uno se creó a partir de una copia de seguridad del otro o que ambos se crearon a partir de una copia de seguridad común. Para obtener más información, consulte [Creación de clústeres a partir de las copias de seguridad](create-cluster-from-backup.md).
+ Para ejecutar este comando, debe haber iniciado sesión como administrador tanto en el clúster de origen como en el clúster de destino.
  +  En el modo de comando único, el comando usará las variables de entorno CLOUDHSM\$1PIN y CLOUDHSM\$1ROLE para autenticarse en el clúster de origen. Para obtener más información, consulte [Modo de comando único](cloudhsm_cli-modes.md#cloudhsm_cli-mode-single-command). Para proporcionar las credenciales del clúster de destino, debe configurar dos variables de entorno adicionales: DESTINATION\$1CLOUDHSM\$1PIN y DESTINATION\$1CLOUDHSM\$1ROLE:

    ```
    $ export DESTINATION_CLOUDHSM_ROLE=<role>
    ```

    ```
    $ export DESTINATION_CLOUDHSM_PIN=<username:password>
    ```
  +  En el modo interactivo, los usuarios deberán iniciar sesión de forma explícita en los clústeres de origen y de destino.

## Sintaxis
<a name="chsm-cli-user-replicate-syntax"></a>

```
aws-cloudhsm > help user replicate
Replicate a user from a source to a destination cluster

Usage: user replicate --username <USERNAME> --role <ROLE> --source-cluster-id <SOURCE_CLUSTER_ID> --destination-cluster-id <DESTINATION_CLUSTER_ID>

Options:
      --username <USERNAME>
          Username of the user to replicate

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --source-cluster-id <SOURCE_CLUSTER_ID>
          Source cluster ID

      --destination-cluster-id <DESTINATION_CLUSTER_ID>
          Destination cluster ID

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplos
<a name="chsm-cli-user-replicate-examples"></a>

**Example Ejemplo: replicación de un usuario**  
Este comando replica un usuario desde un clúster de origen hacia un clúster de destino clonado. En el siguiente ejemplo, se muestra la salida del comando cuando se ha iniciado sesión como administrador en ambos clústeres.  

```
admin-user@cluster-1234abcdefg > user replicate \
      --username example-admin \
      --role admin \
      --source-cluster-id cluster-1234abcdefg \
      --destination-cluster-id cluster-2345bcdefgh
{
  "error_code": 0,
  "data": {
    "user": {
      "username": "example-admin",
      "role": "admin",
      "locked": "false",
      "mfa": [],
      "quorum": [],
      "cluster-coverage": "full"
    },
    "message": "Successfully replicated user"
  }
}
```

## Argumentos
<a name="user-replicate-arguments"></a>

***<USERNAME>***  
Especifica el nombre de usuario del usuario que se va a replicar en el clúster de origen.  
Obligatorio: sí

***<ROLE>***  
Especifica el rol asignado a este usuario. Este parámetro es obligatorio. Los valores válidos son **admin** y **crypto-user**.  
Para obtener el rol del usuario, ejecute el comando **user list**. Para obtener información detallada sobre los tipos de usuario en un HSM, consulte [ Entendiendo los usuarios de HSM ](manage-hsm-users.md).  
Obligatorio: sí

***<SOURCE\$1CLUSTER\$1ID>***  
El ID del clúster de origen.  
Obligatorio: sí

***<DESTINATION\$1CLUSTER\$1ID>***  
El ID del clúster de destino.  
Obligatorio: sí

## Temas relacionados
<a name="chsm-user-replicate-seealso"></a>
+ [Conexión a varios clústeres con la CLI de CloudHSM](cloudhsm_cli-configs-multi-cluster.md)

# La categoría de token en la CLI de CloudHSM
<a name="cloudhsm_cli-qm"></a>

En la CLI de CloudHSM, **quorum** es una categoría principal para un grupo de comandos que, cuando se combinan con **quorum**, crea un comando específico para la autenticación de cuórum o para operaciones M de N. Actualmente, esta categoría consiste en la subcategoría **token-sign**, la cual consta de sus propios comandos. Haga clic en el siguiente enlace para obtener más detalles.
+ [token-sign](cloudhsm_cli-qm-token.md)

**Servicios de administración**: la autenticación de cuórum se utiliza para los servicios con privilegios de administrador, como la creación y eliminación de usuarios, el cambio de las contraseñas de los usuarios, la configuración de los valores de cuórum y la desactivación de las capacidades de cuórum y MFA.

**Servicios de usuarios criptográficos**: la autenticación de quórum se utiliza para los servicios privilegiados de usuarios criptográficos asociados a una clave específica, como firmar con sharing/unsharing una clave, wrapping/unwrapping una clave y establecer el atributo de una clave. El valor de quórum de una clave asociada se configura cuando la clave se genera, se importa o se desencapsula. El valor de quórum debe ser igual o inferior al número de usuarios con los que la clave está asociada, lo que incluye a los usuarios con quienes se comparte la clave y al propietario de la clave.

Además, cada tipo de servicio se divide en un nombre de servicio válido que contiene un conjunto específico de operaciones de servicio compatibles con cuórum que se pueden realizar.


****  

| Nombre del servicio | Tipo de servicio | Operaciones de servicio | 
| --- | --- | --- | 
| usuario | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm.html)  | 
| quorum | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm.html)  | 
| cluster1 | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm.html)  | 
| Administración de claves | Usuario de criptografía |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm.html)  | 
| Uso de claves | Usuario de criptografía |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm.html)  | 

[1] El servicio de clústeres está disponible exclusivamente en hsm2m.medium

## Temas relacionados
<a name="cloudhsm_cli-qm-seealso"></a>
+ [Configurar la autenticación de quórum para los AWS CloudHSM administradores mediante la CLI de CloudHSM](quorum-auth-chsm-cli-first-time.md)
+ [Administrar la autenticación de cuórum (control de acceso M de N) mediante la CLI de CloudHSM](quorum-auth-chsm-cli.md)

# La categoría de firma de token en la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token"></a>

En la CLI de CloudHSM, **quorum token-sign** es una categoría para un grupo de comandos que, cuando se combinan con **quorum token-sign**, crea un comando específico para la autenticación de cuórum o para operaciones M de N.

Actualmente, esta categoría consta de los siguientes comandos:
+ [eliminar](cloudhsm_cli-qm-token-del.md)
+ [generate](cloudhsm_cli-qm-token-gen.md)
+ [list](cloudhsm_cli-qm-token-list.md)
+ [list-quorum-values](cloudhsm_cli-qm-token-list-qm.md)
+ [set-quorum-value](cloudhsm_cli-qm-token-set-qm.md)

# Eliminación de los tokens de quórum mediante la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token-del"></a>

Utilice el comando **quorum token-sign delete** de la CLI de CloudHSM para eliminar uno o más tokens de un servicio autorizado de cuórum.

## Tipo de usuario
<a name="quorum-token-delete-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Sintaxis
<a name="quorum-token-delete-syntax"></a>

```
aws-cloudhsm > help quorum token-sign delete 
Delete one or more Quorum Tokens

Usage: quorum token-sign delete --scope <SCOPE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --scope <SCOPE>
          Scope of which token(s) will be deleted

          Possible values:
          - user: Deletes all token(s) of currently logged in user
          - all:  Deletes all token(s) on the HSM
  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="quorum-token-delete-examples"></a>

En el siguiente ejemplo se muestra cómo se puede usar el comando **quorum token-sign delete** de la CLI de CloudHSM para eliminar uno o más tokens de un servicio autorizado de cuórum.

**Example : elimine uno o más tokens de un servicio autorizado de cuórum.**  

```
aws-cloudhsm > quorum token-sign delete --scope all
{
  "error_code": 0,
  "data": "Deletion of quorum token(s) successful"
}
```

## Argumentos
<a name="quorum-token-delete-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<SCOPE>***  
El ámbito en el que se eliminarán los tokens del AWS CloudHSM clúster.  
**Valores válidos**  
+ **User**: se utiliza para eliminar únicamente los tokens que son propiedad del usuario que ha iniciado sesión.
+ **Todos**: se utiliza para eliminar todos los tokens del AWS CloudHSM clúster.

## Temas relacionados
<a name="quorum-token-delete-seealso"></a>
+ [user list](cloudhsm_cli-user-list.md)
+ [user create](cloudhsm_cli-user-create.md)
+ [user delete](cloudhsm_cli-user-delete.md)

# Generar un token de cuórum con la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token-gen"></a>

Utilice el comando **quorum token-sign generate** de la CLI de CloudHSM para generar un token para un servicio autorizado de cuórum.

Existe un límite para obtener un token activo por usuario y servicio en un clúster de HSM por usuario y cuórum de servicios. Este límite no se aplica a los tokens relacionados con servicios de claves.

**nota**  
Solo los administradores y los usuarios criptográficos pueden generar tokens de servicios específicos. Para obtener más información sobre los tipos y nombres de servicios, consulte [Nombres y tipos de servicios que admiten autenticación por quórum](quorum-auth-chsm-cli-service-names.md).

**Servicios de administración**: la autenticación de cuórum se utiliza para los servicios con privilegios de administrador, como la creación y eliminación de usuarios, el cambio de las contraseñas de los usuarios, la configuración de los valores de cuórum y la desactivación de las capacidades de cuórum y MFA.

**Servicios de usuarios criptográficos**: la autenticación de quórum se utiliza para los servicios privilegiados de usuarios criptográficos asociados a una clave específica, como firmar con sharing/unsharing una clave, wrapping/unwrapping una clave y establecer el atributo de una clave. El valor de quórum de una clave asociada se configura cuando la clave se genera, se importa o se desencapsula. El valor de quórum debe ser igual o inferior al número de usuarios con los que la clave está asociada, lo que incluye a los usuarios con quienes se comparte la clave y al propietario de la clave.

Además, cada tipo de servicio se divide en un nombre de servicio válido que contiene un conjunto específico de operaciones de servicio compatibles con cuórum que se pueden realizar.


****  

| Nombre del servicio | Tipo de servicio | Operaciones de servicio | 
| --- | --- | --- | 
| usuario | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm-token-gen.html)  | 
| quorum | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm-token-gen.html)  | 
| cluster1 | Administrador |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm-token-gen.html)  | 
| Administración de claves | Usuario de criptografía |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm-token-gen.html)  | 
| Uso de claves | Usuario de criptografía |  [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/cloudhsm/latest/userguide/cloudhsm_cli-qm-token-gen.html)  | 

[1] El servicio de clústeres está disponible exclusivamente en hsm2m.medium

## Tipo de usuario
<a name="quorum-token-generate-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="quorum-token-generate-syntax"></a>

```
aws-cloudhsm > help quorum token-sign generate
Generate a token

Usage: quorum token-sign generate --service <SERVICE> --token <TOKEN>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --service <SERVICE>
          Service the token will be used for

          Possible values:
          - user:
            User management service is used for executing quorum authenticated user management operations
          - quorum:
            Quorum management service is used for setting quorum values for any quorum service
          - cluster: 
            Cluster management service is used for executing quorum for cluster wide configuration managements like mtls enforcement, mtls registration and mtls deregistration
          - registration:
            Registration service is used for registering a public key for quorum authentication
          - key-usage:
            Key usage service is used for executing quorum authenticated key usage operations
          - key-management:
            Key management service is used for executing quorum authenticated key management operations

      --token <TOKEN>
          Filepath where the unsigned token file will be written
  -h, --help                     Print help
```

## Ejemplo
<a name="quorum-token-generate-examples"></a>

Este comando escribirá un token sin firmar por cada HSM del clúster en el archivo especificado por `token`.

**Example : escriba un token sin firmar por cada HSM de su clúster**  

```
aws-cloudhsm > quorum token-sign generate --service user --token /home/tfile
{
  "error_code": 0,
  "data": {
    "filepath": "/home/tfile"
  }
}
```

## Argumentos
<a name="quorum-token-generate-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<SERVICE>***  
Especifica el servicio autorizado de cuórum para el que se generará un token. Este parámetro es obligatorio.  
**Valores válidos**  
+ **usuario**: el servicio de administración de usuarios que se utiliza para ejecutar las operaciones de administración de usuarios autorizadas por cuórum.
+ **cuórum**: servicio de administración de quorum que se utiliza para establecer los valores de quorum autorizados para cualquier servicio autorizado de quorum.
+ **clúster**: el servicio de administración de clústeres que se utiliza para ejecutar el cuórum para las administraciones de configuración de todo el clúster, como la aplicación del mtls, el registro de mtls y la anulación del registro de mtls.
+ **registro**: genera un token sin firmar que se utiliza para registrar una clave pública para la autorización del cuórum.
+ **key-usage**: genera un token sin firmar que se utiliza para ejecutar operaciones de uso de claves autorizadas por quórum.
+ **key-management**: genera un token sin firmar que se utiliza para ejecutar operaciones de administración de claves autorizadas por quórum.
**Obligatorio**: sí

***<TOKEN>***  
Ruta de archivo en la que se escribirá el archivo de token sin firmar.  
**Obligatorio**: sí

## Temas relacionados
<a name="quorum-token-generate-seealso"></a>
+ [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md)

# Enumeración de tokens de cuórum mediante la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token-list"></a>

Utilice el **quorum token-sign list** comando de la CLI de CloudHSM para enumerar todos los tokens de quórum con signo de token presentes en el clúster. AWS CloudHSM Esto incluye tokens generados por otros usuarios. Un token está vinculado a un usuario; por lo tanto, aunque pueda ver tokens de otros usuarios, solo podrá utilizar los tokens asociados al usuario cuya sesión esté iniciada actualmente.

Para obtener más información sobre los tipos y nombres de servicio, consulte [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md). Para obtener más información sobre el contenido que se muestra a partir de los tokens listados, consulte [Administración y uso de claves con autenticación de quórum habilitada para AWS CloudHSM usar CloudHSM CLI](key-quorum-auth-chsm-cli-crypto-user.md) para los tokens asociados a los servicios `key-management` y `key-usage`, y consulte [Administración de usuarios con autenticación de quórum habilitada para AWS CloudHSM usar CloudHSM CLI](quorum-auth-chsm-cli-admin.md) para los tokens asociados a los servicios `user`, `quorum` o `cluster`, respectivamente.

## Tipo de usuario
<a name="quorum-token-list-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador
+ Usuario de criptografía (CU)

## Sintaxis
<a name="quorum-token-list-syntax"></a>

```
aws-cloudhsm > help quorum token-sign list
List the token-sign tokens in your cluster

Usage: quorum token-sign list

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="quorum-token-list-examples"></a>

Este comando mostrará una lista de todos los tokens con signos simbólicos presentes en su clúster. AWS CloudHSM Esto incluye tokens generados por otros usuarios. Un token está vinculado a un usuario; por lo tanto, aunque pueda ver tokens de otros usuarios, solo podrá utilizar los tokens asociados al usuario cuya sesión esté iniciada actualmente.

**Example**  

```
aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "admin",
        "service": "quorum",
        "approvals-required": 2,
        "number-of-approvals": 0,
        "token-timeout-seconds": 397,
        "cluster-coverage": "full"
      },
      {
        "username": "admin",
        "service": "user",
        "approvals-required": 2,
        "number-of-approvals": 0,
        "token-timeout-seconds": 588,
        "cluster-coverage": "full"
      },
      {
        "username": "crypto_user1",
        "service": "key-management",
        "key-reference": "0x00000000002c33f7",
        "minimum-token-count": 1
      },
      {
        "username": "crypto_user1",
        "service": "key-usage",
        "key-reference": "0x00000000002c33f7",
        "minimum-token-count": 1
      }
    ]
  }
}
```

## Temas relacionados
<a name="quorum-token-list-seealso"></a>
+ [quorum token-sign generate](cloudhsm_cli-qm-token-gen.md)

# Mostrar los valores de cuórum mediante la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token-list-qm"></a>

Utilice el **quorum token-sign list-quorum-values** comando de la CLI de CloudHSM para enumerar los valores de quórum establecidos en el clúster. AWS CloudHSM 

## Tipo de usuario
<a name="quorum-token-list-qm-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Todos los usuarios. No es preciso haber iniciado sesión para ejecutar este comando.

## Sintaxis
<a name="quorum-token-list-qm-syntax"></a>

```
aws-cloudhsm > help quorum token-sign list-quorum-values
List current quorum values

Usage: quorum token-sign list-quorum-values

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
  -h, --help                     Print help
```

## Ejemplo
<a name="quorum-token-list-qm-examples"></a>

Este comando muestra los valores de quórum establecidos en el AWS CloudHSM clúster para cada servicio.

**Example**  
**hsm1.medium**:  

```
aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 1,
    "quorum": 1
  }
}
```
**hsm2m.medium**:  

```
aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 1,
    "quorum": 1,
    "cluster": 1
  }
}
```

## Temas relacionados
<a name="quorum-token-list-qm-seealso"></a>
+ [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md)
+  [Configurar mTLS (recomendado)](getting-started-setup-mtls.md) 

# Actualización de un valor de cuórum mediante la CLI de CloudHSM
<a name="cloudhsm_cli-qm-token-set-qm"></a>

Ejecute el comando **quorum token-sign set-quorum-value** en la CLI de CloudHSM para definir un nuevo valor de cuórum para un servicio autorizado por cuórum.

## Tipo de usuario
<a name="quorum-token-set-qm-user-type"></a>

Los usuarios siguientes pueden ejecutar este comando.
+ Administrador

## Sintaxis
<a name="quorum-token-set-qm-syntax"></a>

```
aws-cloudhsm > help quorum token-sign set-quorum-value
Set a quorum value

Usage: quorum token-sign set-quorum-value [OPTIONS] --service <SERVICE> --value <VALUE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --service <SERVICE>
          Service the token will be used for

          Possible values:
          - user:
            User management service is used for executing quorum authenticated user management operations
          - quorum:
            Quorum management service is used for setting quorum values for any quorum service
          - cluster: 
            Cluster management service is used for executing quorum for cluster wide configuration managements like mtls enforcement, mtls registration and mtls deregistration

      --value <VALUE>
          Value to set for service

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## Ejemplo
<a name="quorum-token-set-qm-examples"></a>

**Example**  
En el siguiente ejemplo, este comando genera un token sin firmar por cada HSM del clúster en el archivo especificado por el token. Cuando se le solicite, firme los tokens del archivo.  

```
aws-cloudhsm > quorum token-sign set-quorum-value --service quorum --value 2
{
  "error_code": 0,
  "data": "Set Quorum Value successful"
}
```
A continuación, puede ejecutar el comando **list-quorum-values** para confirmar que se ha definido el valor de cuórum para el servicio de administración de cuórum:  
**hsm1.medium**:  

```
aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 1,
    "quorum": 2
  }
}
```
**hsm2m.medium**:  

```
aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 1,
    "quorum": 2,
    "cluster": 1
  }
}
```

## Argumentos
<a name="quorum-token-set-qm-arguments"></a>

***<CLUSTER\$1ID>***  
El ID del clúster en el que se va a ejecutar esta operación.  
Obligatorio: si se han [configurado](cloudhsm_cli-configs-multi-cluster.md) varios clústeres.

***<APPROVAL>***  
La ruta del archivo de token firmado que se va a aprobar en el HSM.

***<SERVICE>***  
Especifica el servicio autorizado de cuórum para el que se generará un token. Este parámetro es obligatorio. Para obtener más información sobre los tipos y nombres de servicio, consulte [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md).  
**Valores válidos**  
+ **user**: servicio de gestión de usuarios. Servicio usado para ejecutar las operaciones de administración de usuarios autorizadas por cuórum.
+ **cuórum**: servicio de gestión de cuórum. Servicio usado para definir los valores de cuórum autorizado para cualquier servicio autorizado por cuórum.
+ **clúster**: el servicio de administración de clústeres que se utiliza para ejecutar el cuórum para las admnistraciones de configuración de todo el clúster, como la aplicación del mtls, el registro de mtls y la anulación del registro de mtls.
+ **registration**: genera un token sin firmar para usarlo al registrar una clave pública para la autorización de cuórum.
**Obligatorio**: sí

***<VALUE>***  
Especifica el valor de cuórum que se va a definir. El valor máximo de cuórum es ocho (8).  
**Obligatorio**: sí

## Temas relacionados
<a name="quorum-token-set-qm-seealso"></a>
+ [signo simbólico de quórum list-quorum-values](cloudhsm_cli-qm-token-list-qm.md)
+ [Nombres y tipos de servicios que admiten la autenticación de cuórum](quorum-auth-chsm-cli-service-names.md)
+ [Configurar mTLS (recomendado)](getting-started-setup-mtls.md)