Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Gestion des AWS CloudHSM clusters
Vous pouvez gérer vos AWS CloudHSM clusters à partir de la AWS CloudHSM
console
Pour créer un cluster, consultez Premiers pas.
Architecture du cluster
Lorsque vous créez un cluster, vous spécifiez un Amazon Virtual Private Cloud (VPC) dans votre AWS compte et un ou plusieurs sous-réseaux dans ce VPC. Nous vous recommandons de créer un sous-réseau dans chaque zone de disponibilité (AZ) de la AWS région que vous avez choisie. Vous pouvez créer des sous-réseaux privés lorsque vous créez un VPC. Pour en savoir plus, veuillez consulter la section Création d’un cloud privé virtuel (VPC).
Chaque fois que vous créez un HSM, vous devez spécifier le cluster et la zone de disponibilité de celui-ci. En plaçant le HSM dans des zones de disponibilité distinctes, vous obtenez de la redondance et de la haute disponibilité en cas d'indisponibilité d'une zone de disponibilité.
Lorsque vous créez un HSM, AWS CloudHSM place une Elastic Network Interface (ENI) dans le sous-réseau spécifié de votre AWS compte. L'interface réseau Elastic est l'interface permettant d'interagir avec le HSM. Le HSM réside dans un VPC distinct, dans AWS un compte détenu par. AWS CloudHSM Le HSM et son interface réseau correspondante se trouvent dans la même zone de disponibilité.
Pour interagir avec les HSM d'un cluster, vous avez besoin du logiciel AWS CloudHSM client. En règle générale, vous installez le client sur les instances Amazon EC2, aussi appelées instances client, qui résident dans le même VPC que les ENI HSM, comme illustré dans la figure suivante. Techniquement, ce n'est cependant pas obligatoire. Vous pouvez installer le client sur n'importe quel ordinateur compatible, à condition qu'il puisse se connecter aux ENI HSM. Le client communique avec les HSM individuels de votre cluster via leurs ENI.
La figure suivante représente un AWS CloudHSM cluster avec trois HSM, chacun dans une zone de disponibilité différente du VPC.
Synchronisation du cluster
Dans un AWS CloudHSM cluster, AWS CloudHSM synchronise les touches des différents HSM. Vous n'avez pas besoin de faire quoi que ce soit pour synchroniser les clés sur vos HSM. Pour synchroniser les utilisateurs et les politiques de chaque HSM, mettez à jour le fichier de configuration du AWS CloudHSM client avant de gérer les utilisateurs du HSM. Pour plus d’informations, consultez Conserver la synchronisation des utilisateurs HSM.
Lorsque vous ajoutez un nouveau HSM à un cluster, effectuez AWS CloudHSM une sauvegarde de toutes les clés, utilisateurs et politiques d'un HSM existant. Il restaure ensuite la sauvegarde sur le nouvel HSM. Les deux HSM sont ainsi synchronisés.
Si les HSM d'un cluster ne sont pas synchronisés, il les AWS CloudHSM resynchronise automatiquement. Pour ce faire, AWS CloudHSM utilise les informations d'identification de l'utilisateur de l'appliance. Cet utilisateur existe sur tous les HSM fournis par AWS CloudHSM et dispose d'autorisations limitées. Il peut obtenir un hachage d'objets sur le HSM, et extraire et insérer des objets masqués (chiffrés). AWS ne peut pas afficher ou modifier vos utilisateurs ou vos clés, et ne peut pas effectuer d'opérations de chiffrement à l'aide de ces clés.
Haute disponibilité et équilibrage de charge du cluster
Lorsque vous créez un AWS CloudHSM cluster avec plusieurs HSM, vous obtenez automatiquement un équilibrage de charge. L'équilibrage de charge signifie que le client AWS CloudHSM répartit les opérations de chiffrement entre tous les HSM du cluster en fonction de la capacité de chacun à prendre en charge un traitement supplémentaire.
Lorsque vous créez les HSM dans différentes zones de AWS disponibilité, vous bénéficiez automatiquement d'une haute disponibilité. La haute disponibilité signifie que vous bénéficiez d'une fiabilité supérieure, car aucun HSM individuel ne constitue de point de défaillance unique. Nous vous recommandons de disposer d'au moins deux HSM par cluster, chaque HSM se trouvant dans différentes zones de disponibilité au sein d'une AWS région.
Par exemple, la figure suivante montre une application de base de données Oracle distribuée dans deux zones de disponibilité différentes. Les instances de base de données stockent leurs clés principales dans un cluster qui inclut un HSM dans chaque zone de disponibilité. AWS CloudHSM synchronise automatiquement les clés avec les deux HSM afin qu'elles soient immédiatement accessibles et redondantes.
