Resolver problemas de un almacén de claves personalizado

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS CloudHSM las tiendas clave están diseñadas para estar disponibles y ser resilientes. Sin embargo, hay algunas condiciones de error que puede que tengas que reparar para que tu almacén de AWS CloudHSM claves siga funcionando.

¿Cómo arreglar las claves KMS no disponibles?

El estado clave AWS KMS keys de un almacén de AWS CloudHSM claves suele serEnabled. Al igual que todas las claves de KMS, el estado de las claves cambia al deshabilitar las claves de KMS en un almacén de AWS CloudHSM claves o al programar su eliminación. Sin embargo, a diferencia de otras claves KMS, las claves KMS de un almacén de claves personalizado también pueden tener el estado de clave Unavailable.

El estado de clave Unavailable indica que la clave de KMS está en un almacén de claves personalizado que se ha desconectado de forma intencional y que los intentos de conectarlo de nuevo han fallado. Mientras una clave KMS no esté disponible, puede consultarla y administrarla, pero no puede usarla en operaciones criptográficas.

Para buscar el estado de clave de una clave KMS en la página Customer managed keys (Claves administradas por el cliente) consulte el campo Status (Estado) de la clave KMS. O bien, utilice la DescribeKeyoperación y visualice el KeyState elemento en la respuesta. Para obtener más información, consulte Identificación y visualización de claves.

Las claves KMS en un almacén de claves personalizado desconectado tendrá el estado de clave Unavailable o PendingDeletion. Las claves de KMS programadas para su eliminación de un almacén de claves personalizado tienen el estado de clave Pending Deletion, incluso si el almacén de claves personalizado está desconectado. Esto permite cancelar la eliminación programada de la clave sin volver a conectar el almacén de claves personalizado.

Para arreglar una clave KMS no disponible, vuelva a conectar el almacén de claves personalizado. Después de volver a conectar el almacén de claves personalizado, el estado de clave de las claves KMS en el almacén de claves personalizado se restaura automáticamente al estado anterior, como Enabled o Disabled. Las claves KMS pendientes de eliminación seguirán teniendo el estado PendingDeletion. Sin embargo, si el problema persiste, habilitar y desactivar una clave KMS no disponible no cambia su estado de clave. La acción de habilitar o desactivar solo será efectiva cuando la clave esté disponible.

Si desea ayuda con las conexiones que dan error, consulte Cómo arreglar un error de conexión.

¿Cómo arreglar una clave KMS que produce error?

Los problemas relacionados con la creación y el uso de las claves de KMS en AWS CloudHSM los almacenes de claves pueden deberse a un problema con el almacén de AWS CloudHSM claves, el AWS CloudHSM clúster asociado, la clave de KMS o su material de claves.

Cuando un almacén de AWS CloudHSM claves se desconecta de su AWS CloudHSM clúster, el estado de las claves de KMS en el almacén de claves personalizado es el mismoUnavailable. Todas las solicitudes para crear claves KMS en un almacén de AWS CloudHSM claves desconectado devuelven una CustomKeyStoreInvalidStateException excepción. Todas las solicitudes para cifrar, descifrar, volver a cifrar o generar claves de datos devuelve una excepción KMSInvalidStateException. Para solucionar el problema, vuelva a conectar el almacén de AWS CloudHSM claves.

Sin embargo, sus intentos de utilizar una clave KMS en un almacén de AWS CloudHSM claves para operaciones criptográficas pueden fallar incluso si su estado de clave es Enabled y el estado de conexión del almacén de AWS CloudHSM claves es el mismo. Connected Esto puede deberse a una de las siguientes condiciones.

Cómo arreglar un error de conexión

Si intenta conectar un almacén de AWS CloudHSM claves a su AWS CloudHSM clúster, pero la operación falla, el estado de conexión del almacén de AWS CloudHSM claves cambia aFAILED. Para averiguar el estado de conexión de un almacén de AWS CloudHSM claves, utilice la AWS KMS consola o la DescribeCustomKeyStoresoperación.

Algunos intentos de conexión producen un error rápidamente debido a errores de configuración del clúster detectados fácilmente. En este caso, el estado de la conexión aún es DISCONNECTED. Estos errores devuelven un mensaje de error o unaexcepción que explica por qué el intento produjo un error. Revise la descripción de la excepción y los requisitos del clúster, solucione el problema, actualice el almacén de AWS CloudHSM claves, si es necesario, e intente conectarse de nuevo.

Cuando el estado de la conexión seaFAILED, ejecute la DescribeCustomKeyStoresoperación y observe el ConnectionErrorCode elemento en la respuesta.

Cómo responder ante un error de operación criptográfica

Una operación criptográfica que utiliza una clave de KMS en un almacén de claves personalizado puede dar un error KMSInvalidStateException. Los siguientes mensajes de error pueden acompañar al error KMSInvalidStateException.

Cómo arreglar las credenciales de kmsuser no válidas

Al conectar un almacén de AWS CloudHSM claves, AWS KMS inicia sesión en el AWS CloudHSM clúster asociado como usuario kmsuser criptográfico (CU). Permanece conectado hasta que se desconecte el almacén de AWS CloudHSM claves. La respuesta DescribeCustomKeyStores muestra un ConnectionState de FAILED y un valor de ConnectionErrorCode de INVALID_CREDENTIALS, como se muestra en el siguiente ejemplo.

Si desconecta el almacén de AWS CloudHSM claves y cambia la kmsuser contraseña, AWS KMS no podrá iniciar sesión en el AWS CloudHSM clúster con las credenciales de la cuenta kmsuser CU. Como resultado, todos los intentos de conectar el almacén de AWS CloudHSM claves fallan. La respuesta DescribeCustomKeyStores muestra un ConnectionState de FAILED y un valor de ConnectionErrorCode de INVALID_CREDENTIALS, como se muestra en el siguiente ejemplo.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Además, después de 5 intentos de iniciar sesión en el clúster con una contraseña incorrecta, AWS CloudHSM bloquea la cuenta del usuario. Para iniciar sesión en el clúster, deberá cambiar la contraseña de la cuenta.

Si AWS KMS recibe una respuesta de bloqueo cuando intenta iniciar sesión en el clúster como kmsuser CU, se produce un error en la solicitud de conexión del almacén de AWS CloudHSM claves. La DescribeCustomKeyStoresrespuesta incluye un valor ConnectionState de FAILED y un ConnectionErrorCode valor deUSER_LOCKED_OUT, como se muestra en el siguiente ejemplo.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Para reparar cualquiera de estas condiciones use el procedimiento siguiente.

Cómo eliminar material de claves huérfano

Tras programar la eliminación de una clave de KMS de un almacén de AWS CloudHSM claves, es posible que tenga que eliminar manualmente el material de claves correspondiente del AWS CloudHSM clúster asociado.

Al crear una clave de KMS en un almacén de AWS CloudHSM claves, AWS KMS crea los metadatos de la clave de KMS AWS KMS y genera el material de claves en el AWS CloudHSM clúster asociado. Al programar la eliminación de una clave de KMS de un almacén de AWS CloudHSM claves, tras el período de espera, se AWS KMS eliminan los metadatos de la clave de KMS. A continuación, AWS KMS hace todo lo posible por eliminar el material clave correspondiente del AWS CloudHSM clúster. El intento podría fallar si AWS KMS no se puede acceder al clúster, por ejemplo, cuando se desconecta del almacén de AWS CloudHSM claves o si se cambia la kmsuser contraseña. AWS KMS no intenta eliminar el material clave de las copias de seguridad del clúster.

AWS KMS informa de los resultados de su intento de eliminar el material clave del clúster en la entrada de DeleteKey eventos de sus AWS CloudTrail registros. Aparece en el elemento backingKeysDeletionStatus del elemento additionalEventData, tal y como se muestra en la siguiente entrada de ejemplo. La entrada también incluye el ARN de la clave KMS, el ID del AWS CloudHSM clúster y el ID (backing-key-id) del material clave.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Los siguientes procedimientos muestran cómo eliminar el material clave huérfano del clúster asociado. AWS CloudHSM

¿Cómo recuperar el material de claves eliminado de una clave KMS?

Si AWS KMS key se elimina el material clave de un, la clave de KMS no se puede utilizar y no se puede descifrar todo el texto cifrado con la clave de KMS. Esto puede ocurrir si el material clave de una clave KMS de un almacén de AWS CloudHSM claves se elimina del clúster asociado. AWS CloudHSM Sin embargo, el material de claves se puede recuperar.

Al crear una AWS KMS key (clave KMS) en un almacén de AWS CloudHSM claves, AWS KMS inicia sesión en el AWS CloudHSM clúster asociado y crea el material clave para la clave KMS. También cambia la contraseña por un valor que solo él conoce y permanece conectado mientras el almacén de AWS CloudHSM claves esté conectado. Como solo el propietario de la clave, es decir, la CU que la creó, puede eliminarla, es poco probable que la clave se borre HSMs accidentalmente.

Sin embargo, si el material clave de una clave de KMS se elimina HSMs de un clúster, el estado de la clave de KMS finalmente cambia aUNAVAILABLE. Si intenta usar la clave de KMS para una operación criptográfica, la operación da error con una excepción KMSInvalidStateException. Lo más importante es que todos los datos cifrados con la clave KMS no pueden descifrarse.

Puede recuperar el material de claves eliminado, bajo determinadas circunstancias, creando un clúster a partir de una copia de seguridad que contenga el material de claves. Esta estrategia funciona únicamente si se creó al menos una copia de seguridad mientras existió la clave y antes de que se eliminara.

Utilice el siguiente proceso para recuperar el material de claves.

Cómo iniciar sesión como kmsuser

Para crear y administrar el material clave del AWS CloudHSM clúster para su almacén de AWS CloudHSM claves, AWS KMS utilice la cuenta de usuario kmsuser criptográfico (CU). Al crear el almacén de AWS CloudHSM claves, debe crear la cuenta kmsuser CU en el clúster y proporcionar su contraseña. AWS KMS

En general, AWS KMS administra la kmsuser cuenta. Sin embargo, para algunas tareas, debe desconectar el almacén de AWS CloudHSM claves, iniciar sesión en el clúster como kmsuser CU y utilizar la interfaz de línea de comandos (CLI) de CloudHSM.

En este tema se explica cómo desconectar el almacén de AWS CloudHSM claves e iniciar sesión comokmsuser, ejecutar la herramienta de línea de AWS CloudHSM comandos, cerrar sesión y volver a conectar AWS CloudHSM el almacén de claves.

Cómo desconectar e iniciar sesión

Siga el siguiente procedimiento cada vez que deba iniciar sesión en un clúster asociado como usuario de criptografía de kmsuser.

Cómo cerrar sesión y volver a conectar

Utilice el siguiente procedimiento cada vez que necesite cerrar sesión como usuario de criptografía de kmsuser y volver a conectar su almacén de claves.