Más información sobre la sincronización de claves de AWS CloudHSM
AWS CloudHSM usa la sincronización de claves para clonar claves de tokens en todos los módulos de seguridad de hardware (HSM) de un clúster. Las claves simbólicas se crean como claves persistentes durante las operaciones de generación, importación o desencapsulamiento de claves. Para distribuir estas claves en el clúster, CloudHSM ofrece sincronización de claves del lado del cliente y del servidor.
El objetivo de la sincronización de claves, tanto del lado del servidor como del lado del cliente, es distribuir las nuevas claves en el clúster lo más rápido posible después de crearlas. Esto es importante porque las llamadas posteriores que realice para usar nuevas claves se pueden enrutar a cualquier HSM disponible en el clúster. Si la llamada que realiza se dirige a un HSM sin la clave, no se hará correctamente. Puede mitigar este tipo de errores especificando que sus aplicaciones reintenten las llamadas posteriores realizadas después de las operaciones de creación de claves. El tiempo necesario para la sincronización puede variar en función de la carga de trabajo del clúster y de otros elementos intangibles. Utilice las métricas de CloudWatch para determinar el tiempo que debe emplear su aplicación en este tipo de situaciones. Para obtener más información, consulte Métricas de CloudWatch.
El desafío de la sincronización de claves en un entorno de nube es la durabilidad de las claves. Las claves se crean en un único HSM y, a menudo, se empiezan a utilizar esas claves de forma inmediata. Si el HSM en el que se crean las claves falla antes de clonarlas en otro HSM del clúster, se pierden las claves y se pierde el acceso a todo lo cifrado por ellas. Para mitigar este riesgo, ofrecemos sincronización del lado del cliente. La sincronización del lado del cliente es un proceso que clona las claves simbólicas que se crean durante las operaciones de generación, importación o desencapsulamiento de claves. Al clonar las claves a medida que se crean, las hace más duraderas. Por supuesto, no se pueden clonar las claves de un clúster con un solo HSM. Para que las claves sean más duraderas, también le recomendamos que configure el clúster para que utilice un mínimo de dos HSM. Con la sincronización del lado del cliente y un clúster con dos HSM, puede superar el desafío de la durabilidad de las claves en un entorno de nube.
