Cambiar la configuración de durabilidad de claves del cliente de AWS CloudHSM

En SDK 5 de cliente, la sincronización de claves es un proceso totalmente automático. Con el cuórum de disponibilidad de claves, las claves recién creadas deben existir en dos HSM del clúster para que la aplicación pueda usar la clave. Para utilizar el cuórum de disponibilidad de claves, el clúster debe tener un mínimo de dos HSM.

Si la configuración del clúster no cumple los requisitos de durabilidad clave, cualquier intento de crear o utilizar una clave simbólica fallará y aparecerá el siguiente mensaje de error en los registros:

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

Puede usar los ajustes de configuración del cliente para excluirse del cuórum de disponibilidad de claves. Por ejemplo, puede optar por no ejecutar un clúster con un solo HSM.

Conceptos de SDK 5 de cliente

Gestión de la configuración de durabilidad de la clave del cliente

Para administrar la configuración de durabilidad de las claves del cliente, debe utilizar la herramienta de configuración de SDK 5 de cliente.

En SDK 3 de cliente, la sincronización de claves es en su mayoría un proceso automático, pero puede usar la configuración de durabilidad de las claves del cliente para aumentar la durabilidad de las claves. Debe especificar el número de HSM en los que la creación de claves debe realizarse correctamente para que la operación general se considere un éxito. La sincronización del lado del cliente siempre hace todo lo posible por clonar las claves de todos los HSM del clúster, independientemente de la configuración que elija. La configuración impone la creación de claves en el número de HSM que especifique. Si especifica un valor y el sistema no puede replicar la clave en ese número de HSM, el sistema eliminará automáticamente el material clave no deseado y podrá volver a intentarlo.

Para maximizar la durabilidad de la clave, considere la posibilidad de especificar al menos dos HSM para la sincronización del lado del cliente. Recuerde que, independientemente del número de HSM que especifique, la carga de trabajo del clúster sigue siendo la misma. La sincronización del lado del cliente siempre hace todo lo posible por clonar las claves de todos los HSM del clúster.

Recomendaciones

Si se produce un error en la sincronización del lado del cliente, el servicio del cliente elimina las claves no deseadas que puedan haberse creado y que ahora no son necesarias. Esta limpieza es la respuesta más sencilla y puede que no siempre funcione. Si la limpieza no se realiza correctamente, es posible que tenga que eliminar el material de clave no deseado. Para obtener más información, consulte Errores de sincronización de claves.

Configuración del archivo de configuración para garantizar la durabilidad de la clave del cliente

Para especificar la configuración de durabilidad de la clave del cliente, debe editar cloudhsm_client.cfg.

Referencia de la configuración

Estas son las propiedades de sincronización del lado del cliente, que se muestran en un extracto del cloudhsm_client.cfg:

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}

KMU y sincronización del lado del cliente

Si crea claves con la herramienta de línea de comandos key_mgmt_util (KMU), utilizará un parámetro de línea de comandos opcional (-min_srv) para limitar el número de HSM en los que clonar las claves. Si especifica el parámetro de línea de comandos y un valor en el archivo de configuración, AWS CloudHSM respeta el MAYOR de los dos valores.

Para obtener más información, consulte los temas siguientes: