Enveloppez une clé à CLOUDHSM-AES-GCM l'aide de la CLI CloudHSM

Utilisez la key wrap cloudhsm-aes-gcm commande de la CLI CloudHSM pour encapsuler une clé de charge utile à l'aide d'une clé AES sur le module de sécurité matériel (HSM) et le mécanisme d'encapsulation. CLOUDHSM-AES-GCM L'extractableattribut de la clé de charge utile doit être défini sur. true

Seul le propriétaire d'une clé, c'est-à-dire l'utilisateur cryptographique (CU) qui a créé la clé, peut encapsuler la clé. Les utilisateurs qui partagent la clé peuvent l'utiliser dans des opérations cryptographiques.

Pour utiliser la key wrap cloudhsm-aes-gcm commande, vous devez d'abord disposer d'une clé AES dans votre AWS CloudHSM cluster. Vous pouvez générer une clé AES à encapsuler avec la Génération d'une clé AES symétrique avec la CLI CloudHSM commande et l'wrapattribut définis surtrue.

Type utilisateur

Les types d'utilisateur suivants peuvent exécuter cette commande.

Prérequis

Syntaxe

aws-cloudhsm > help key wrap cloudhsm-aes-gcm
Usage: key wrap cloudhsm-aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help

exemple

Cet exemple montre comment utiliser la key wrap cloudhsm-aes-gcm commande à l'aide d'une touche AES.

aws-cloudhsm > key wrap cloudhsm-aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64 --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ"
  }
}

Arguments

Rubriques en relation