Cambie la configuración de durabilidad de las claves AWS CloudHSM del cliente

En SDK 5 de cliente, la sincronización de claves es un proceso totalmente automático. Con el quórum de disponibilidad de claves, las claves recién creadas deben existir HSMs en dos unidades del clúster para que la aplicación pueda utilizarlas. Para utilizar el quórum de disponibilidad de claves, el clúster debe tener un mínimo de dos. HSMs

Si la configuración del clúster no cumple los requisitos de durabilidad clave, cualquier intento de crear o utilizar una clave simbólica fallará y aparecerá el siguiente mensaje de error en los registros:

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

Puede usar los ajustes de configuración del cliente para excluirse del cuórum de disponibilidad de claves. Por ejemplo, puede optar por no ejecutar un clúster con un solo HSM.

Conceptos de SDK 5 de cliente

Gestión de la configuración de durabilidad de la clave del cliente

Para administrar la configuración de durabilidad de las claves del cliente, debe utilizar la herramienta de configuración de SDK 5 de cliente.

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

En SDK 3 de cliente, la sincronización de claves es en su mayoría un proceso automático, pero puede usar la configuración de durabilidad de las claves del cliente para aumentar la durabilidad de las claves. Debe especificar el número de claves HSMs en el que la creación de claves debe realizarse correctamente para que la operación general se considere exitosa. La sincronización del lado del cliente siempre hace todo lo posible por clonar las claves de todos los HSM del clúster, independientemente de la configuración que elija. La configuración exige la creación de claves en el número HSMs que especifique. Si especificas un valor y el sistema no puede replicar la clave hasta ese número HSMs, el sistema eliminará automáticamente el material clave no deseado y podrás volver a intentarlo.

Para maximizar la durabilidad de las claves, considere la posibilidad de especificar al menos dos HSMs para la sincronización del lado del cliente. Recuerde que, independientemente del número que HSMs especifique, la carga de trabajo del clúster sigue siendo la misma. La sincronización del lado del cliente siempre hace todo lo posible por clonar las claves de todos los HSM del clúster.

Recomendaciones

Si se produce un error en la sincronización del lado del cliente, el servicio del cliente elimina las claves no deseadas que puedan haberse creado y que ahora no son necesarias. Esta limpieza es la respuesta más sencilla y puede que no siempre funcione. Si la limpieza no se realiza correctamente, es posible que tenga que eliminar el material de clave no deseado. Para obtener más información, consulte Errores de sincronización de claves.

Configuración del archivo de configuración para garantizar la durabilidad de la clave del cliente

Para especificar la configuración de durabilidad de la clave del cliente, debe editar cloudhsm_client.cfg.

Referencia de la configuración

Estas son las propiedades de sincronización del lado del cliente, que se muestran en un extracto del cloudhsm_client.cfg:

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}

KMU y sincronización del lado del cliente

Si crea claves con la herramienta de línea de comandos key_mgmt_util (KMU), utilizará un parámetro de línea de comandos opcional (-min_srv) para limitar el número de claves en las que se pueden clonar. HSMs Si especifica el parámetro de línea de comandos y un valor en el archivo de configuración, respeta el mayor de los dos valores. AWS CloudHSM

Para obtener más información, consulte los temas siguientes:

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}