Conexión de un almacén de claves de AWS CloudHSM

Para conectar un almacén de claves de AWS CloudHSM en la AWS Management Console, primero deberá seleccionar el almacén de datos de AWS CloudHSM en la página Custom key stores (Almacenes de claves personalizados). El proceso de conexión puede tardar hasta 20 minutos en completarse.

AWS KMS empieza el proceso de conexión del almacén de claves personalizado. Encuentra el clúster del AWS CloudHSM asociado, genera la infraestructura de red necesaria, se conecta a él, inicia sesión en el clúster de AWS CloudHSM con el CU kmsuser y rota la contraseña kmsuser. Cuando la operación finalizada, el estado de conexión cambia a Connected (Conectado).

Si la operación falla, aparecerá un mensaje de error que describe el motivo del error. Antes de intentar conectarse de nuevo, vea el estado de conexión del almacén de claves de AWS CloudHSM. Si es Failed (Error), deberá desconectar el almacén de claves personalizado antes de conectarlo de nuevo. Si necesita más ayuda, consulte Resolver problemas de un almacén de claves personalizado.

Siguiente: Crear una KMS clave en un almacén de AWS CloudHSM claves.

Para conectar un almacén de claves de AWS CloudHSM desconectado, use la operación ConnectCustomKeyStore. El clúster de AWS CloudHSM asociado debe incluir al menos un HSM activo y su estado de conexión no puede ser FAILED.

El proceso de conexión puede tardar bastante en completarse, unos 20 minutos. A menos que el error sea rápido, la operación devuelve una respuesta HTTP 200 y un objeto JSON sin propiedades. Sin embargo, esta respuesta inicial no indica que la conexión se haya realizado correctamente. Para determinar el estado de conexión de un almacén de claves personalizado, consulte la respuesta DescribeCustomKeyStores.

En los ejemplos de esta sección, se utiliza la AWS Command Line Interface (AWS CLI), pero puede usar cualquier lenguaje de programación admitido.

Para identificar el almacén de claves de AWS CloudHSM, use el ID del almacén de claves personalizado. Puede buscar el ID en la página Custom key stores (Almacenes de claves personalizados) en la consola o mediante la operación DescribeCustomKeyStores sin parámetros. Antes de ejecutar este ejemplo, reemplace el ID de ejemplo por uno válido.

$ aws kms connect-custom-key-store --custom-key-store-id cks-1234567890abcdef0

Para verificar que el almacén de claves de AWS CloudHSM está conectado, utilice la operación DescribeCustomKeyStores. De forma predeterminada, esta operación devuelve los almacenes de claves personalizados de su cuenta y región. Pero puede usar el parámetro CustomKeyStoreId o CustomKeyStoreName (pero no ambos) para limitar la respuesta a almacenes de claves personalizados determinados. El valor ConnectionState de CONNECTED indica que el almacén de claves personalizado está conectado a su clúster de AWS CloudHSM.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "CONNECTED"
   ],
}

Si el valor ConnectionState da error, el elemento ConnectionErrorCode indicará el motivo del error. En este caso, AWS KMS no ha encontrado ningún clúster de AWS CloudHSM en la cuenta con el ID de clúster cluster-1a23b4cdefg. Si ha eliminado el clúster, puede restaurarlo a partir de una copia de seguridad del clúster original y, a continuación, editar el ID del clúster para el almacén de claves personalizado. Para obtener ayuda sobre cómo responder a un código de error de conexión, consulte Cómo arreglar un error de conexión.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "CustomKeyStoreType": "AWS_CLOUDHSM",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
      "ConnectionErrorCode": "CLUSTER_NOT_FOUND"
   ],
}