Définissez les attributs des AWS CloudHSM clés à l'aide de CMU

Utilisez la setAttribute commande du fichier AWS CloudHSM cloudhs_mgmt_util pour modifier la valeur des attributs label, crypter, déchiffrer, encapsuler et désencapsuler d'une clé dans le. HSMs Vous pouvez également utiliser la setAttributecommande dans key_mgmt_util pour convertir une clé de session en clé persistante. Vous pouvez uniquement modifier les attributs des clés qui vous appartiennent.

Avant d'exécuter une CMU commande, vous devez démarrer CMU et vous connecter auHSM. Veillez à ce que le type d'utilisateur du compte que vous utilisez pour vous connecter puisse exécuter les commandes que vous prévoyez d'utiliser.

Si vous ajoutez ou supprimezHSMs, mettez à jour les fichiers de configuration pourCMU. Dans le cas contraire, les modifications que vous apportez risquent de ne pas être efficaces pour tous HSMs les membres du cluster.

Type utilisateur

Les utilisateurs suivants peuvent exécuter cette commande.

Syntaxe

Comme cette commande n'a pas de paramètres nommés, vous devez entrer les arguments dans l'ordre spécifié dans le diagramme de syntaxe.

setAttribute <key handle> <attribute id>

Exemple

Cet exemple montre comment désactiver la fonction de déchiffrement d'une clé symétrique. Vous pouvez utiliser une commande comme celle-ci pour configurer une clé d'encapsulage, pour encapsuler et désencapsuler d'autres clés, mais pas pour chiffrer ou déchiffrer les données.

La première étape consiste à créer la clé d'encapsulage. Cette commande est utilisée genSymKeydans key_mgmt_util pour générer une clé symétrique de 256 bits. AES La sortie indique que la nouvelle clé a le handle de clé 14.

$  genSymKey -t 31 -s 32 -l aes256

Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS

        Symmetric Key Created.  Key Handle: 14

        Cluster Error Status
        Node id 0 and err state 0x00000000 : HSM Return: SUCCESS

Ensuite, nous voulons confirmer la valeur actuelle de l'attribut de déchiffrement. Pour obtenir l'ID de l'attribut de déchiffrement, utilisez listAttributes. La sortie indique que la constante qui représente l'attribut OBJ_ATTR_DECRYPT est 261. Pour obtenir de l'aide sur l'interprétation des attributs de clés, consultez le AWS CloudHSM référence d'attribut clé pour KMU.

aws-cloudhsm> listAttributes

Following are the possible attribute values for getAttribute:

      OBJ_ATTR_CLASS                  = 0
      OBJ_ATTR_TOKEN                  = 1
      OBJ_ATTR_PRIVATE                = 2
      OBJ_ATTR_LABEL                  = 3
      OBJ_ATTR_TRUSTED                = 134
      OBJ_ATTR_KEY_TYPE               = 256
      OBJ_ATTR_ID                     = 258
      OBJ_ATTR_SENSITIVE              = 259
      OBJ_ATTR_ENCRYPT                = 260
      OBJ_ATTR_DECRYPT                = 261
      OBJ_ATTR_WRAP                   = 262
      OBJ_ATTR_UNWRAP                 = 263
      OBJ_ATTR_SIGN                   = 264
      OBJ_ATTR_VERIFY                 = 266
      OBJ_ATTR_DERIVE                 = 268
      OBJ_ATTR_LOCAL                  = 355
      OBJ_ATTR_MODULUS                = 288
      OBJ_ATTR_MODULUS_BITS           = 289
      OBJ_ATTR_PUBLIC_EXPONENT        = 290
      OBJ_ATTR_VALUE_LEN              = 353
      OBJ_ATTR_EXTRACTABLE            = 354
      OBJ_ATTR_NEVER_EXTRACTABLE      = 356
      OBJ_ATTR_ALWAYS_SENSITIVE       = 357
      OBJ_ATTR_DESTROYABLE            = 370
      OBJ_ATTR_KCV                    = 371
      OBJ_ATTR_WRAP_WITH_TRUSTED      = 528
      OBJ_ATTR_WRAP_TEMPLATE          = 1073742353
      OBJ_ATTR_UNWRAP_TEMPLATE        = 1073742354
      OBJ_ATTR_ALL                    = 512

Pour obtenir la valeur actuelle de l'attribut de déchiffrement pour la clé 14, la commande suivante est utilisée getAttributedans cloudhs_mgmt_util.

La sortie indique que la valeur de l'attribut de déchiffrement est vraie (1) sur les deux éléments HSMs du cluster.

aws-cloudhsm> getAttribute 14 261
      
Attribute Value on server 0(10.0.0.1):
OBJ_ATTR_DECRYPT
0x00000001

Attribute Value on server 1(10.0.0.2):
OBJ_ATTR_DECRYPT
0x00000001

Cette commande utilise setAttribute pour modifier la valeur de l'attribut de déchiffrement (attribut 261) de la clé 14 en 0. Cela permet de désactiver la fonction de déchiffrement sur la clé.

Le résultat indique que la commande a réussi sur les deux HSMs dans le cluster.

aws-cloudhsm> setAttribute 14 261 0
*************************CAUTION********************************
This is a CRITICAL operation, should be done on all nodes in the
cluster. AWS does NOT synchronize these changes automatically with the
nodes on which this operation is not executed or failed, please
ensure this operation is executed on all nodes in the cluster.
****************************************************************

Do you want to continue(y/n)? y
setAttribute success on server 0(10.0.0.1)
setAttribute success on server 1(10.0.0.2)

La dernière commande répète la commande getAttribute. Là encore, elle obtient l'attribut de déchiffrement (attribut 261) de la clé 14.

Cette fois, le résultat indique que la valeur de l'attribut de déchiffrement est fausse (0) sur les deux éléments HSMs du cluster.

aws-cloudhsm>getAttribute 14 261
Attribute Value on server 0(10.0.3.6):
OBJ_ATTR_DECRYPT
0x00000000

Attribute Value on server 1(10.0.1.7):
OBJ_ATTR_DECRYPT
0x00000000

Arguments

setAttribute <key handle> <attribute id>

Rubriques en relation