Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
AWS CloudHSM meilleures pratiques de gestion clés
Suivez les bonnes pratiques décrites dans cette section lors de la gestion des clés AWS CloudHSM.
Choisissez le bon type de clé
Lorsque vous utilisez une clé de session, vos transactions par seconde (TPS) seront limitées à un HSM où la clé existe. Des HSM supplémentaires dans votre cluster n'augmenteront pas le débit des demandes pour cette clé. Si vous utilisez une clé de jeton pour la même application, la charge de vos demandes sera équilibrée sur tous les HSM disponibles dans votre cluster. Pour de plus amples informations, veuillez consulter Principaux paramètres de synchronisation et de durabilité dans AWS CloudHSM.
Gérez les limites de stockage des clés
Le nombre maximum de jetons et de clés de session pouvant être stockés simultanément sur un HSM est limité. Pour plus d'informations sur les limites de stockage des clés, consultezAWS CloudHSM quotas. Si votre application nécessite plus que la limite, vous pouvez utiliser une ou plusieurs des stratégies suivantes pour gérer efficacement les clés :
Utilisez l'encapsulation sécurisée pour stocker vos clés dans une banque de données externe : grâce à l'encapsulation sécurisée, vous pouvez dépasser la limite de stockage des clés en stockant toutes vos clés dans une banque de données externe. Lorsque vous devez utiliser cette clé, vous pouvez la déballer dans le HSM en tant que clé de session, utiliser la clé pour l'opération requise, puis supprimer la clé de session. Les données clés d'origine restent stockées en toute sécurité dans votre banque de données pour être utilisées chaque fois que vous en avez besoin. L'utilisation de clés fiables pour ce faire maximise votre protection.
Répartissez les clés entre les clusters : une autre stratégie pour surmonter la limite de stockage des clés consiste à stocker vos clés dans plusieurs clusters. Dans cette approche, vous gérez un mappage des clés stockées dans chaque cluster. Utilisez ce mappage pour acheminer les demandes de vos clients vers le cluster avec la clé requise. Pour plus d'informations sur la connexion à plusieurs clusters à partir de la même application cliente, consultez les rubriques suivantes :
Gestion et sécurisation de l'emballage des clés
Les clés peuvent être marquées comme extractibles ou non extractibles via l'attribut. EXTRACTABLE Par défaut, les clés HSM sont marquées comme extractibles.
Les clés extractibles sont des clés qui peuvent être exportées depuis le HSM par le biais de l'encapsulation des clés. Les clés encapsulées sont chiffrées et doivent être déballées à l'aide de la même clé d'encapsulage avant de pouvoir être utilisées. Non-extractable les clés ne peuvent en aucun cas être exportées depuis le HSM. Il n'existe aucun moyen de rendre extractible une clé non extractible. C'est pourquoi il est important de déterminer si vous souhaitez que vos clés soient extractibles ou non et de définir l'attribut de clé correspondant en conséquence.
Si vous avez besoin d'un encapsulage de clés dans votre application, vous devez utiliser un encapsulage de clés sécurisé pour limiter la capacité des utilisateurs de votre HSM aux seules wrap/unwrap clés qui ont été explicitement marquées comme fiables par un administrateur. Pour plus d'informations, consultez les rubriques relatives à l'encapsulation de clés sécuriséesEntrez les clés AWS CloudHSM.
Ressources connexes
