Configurer l'authentification par quorum pour les AWS CloudHSM administrateurs à l'aide du Cloud HSM CLI

L'exemple suivant montre comment utiliser Open SSL pour créer une RSA clé de 2 048 bits protégée par une phrase secrète. Pour utiliser cet exemple, remplacez <admin.key> avec le nom du fichier dans lequel vous souhaitez stocker la clé.

$ openssl genrsa -out <admin.key> -aes256 2048
Generating RSA private key, 2048 bit long modulus
.....................................+++
.+++
e is 65537 (0x10001)
Enter pass phrase for admin.key:
Verifying - Enter pass phrase for admin.key:

L'exemple suivant montre comment utiliser Open pour créer une clé publique SSL à partir de la clé privée que vous venez de créer.

$ openssl rsa -in admin.key -outform PEM -pubout -out admin1.pub
Enter pass phrase for admin.key:
writing RSA key

L'exemple suivant montre comment utiliser la user change-quorum token-sign register commande dans Cloud HSM CLI pour enregistrer une clé publique d'administrateur avec le. HSM Pour utiliser cette commande, l'administrateur doit être connecté auHSM. Remplacez les valeurs suivantes par les vôtres :

aws-cloudhsm > user change-quorum token-sign register --public-key </path/admin.pub> --signed-token </path/tokenfile>
{
  "error_code": 0,
  "data": {
    "username": "admin",
    "role": "admin"
  }
}

Une fois que tous les administrateurs ont enregistré leurs clés publiques, le résultat de la commande user list l'indique dans le champ de quorum, indiquant la stratégie de quorum activée utilisée, comme indiqué ci-dessous :

aws-cloudhsm > user list
{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin2",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin3",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin4",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "app_user",
        "role": "internal(APPLIANCE_USER)",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      }
    ]
  }
}

Cet exemple utilise une valeur minimale de quorum de deux (2). Vous pouvez choisir une valeur comprise entre deux (2) et huit (8), jusqu'au nombre total d'administrateurs duHSM. Dans cet exemple, il HSM a quatre (4) administrateurs, donc la valeur maximale possible est de quatre (4).

Pour utiliser l'exemple de commande suivant, remplacez le dernier numéro (<2>) avec la valeur minimale de quorum préférée.

aws-cloudhsm > quorum token-sign set-quorum-value --service user --value <2>
{
  "error_code": 0,
  "data": "Set quorum value successful"
}

Dans cet exemple, le service identifie le HSM service dont vous définissez la valeur minimale de quorum. La Afficher les valeurs de quorum à l'aide du cloud HSM CLI commande répertorie les types de HSM services, les noms et les descriptions inclus dans le service.

Services d'administration : l'authentification par quorum est utilisée pour les services dotés de privilèges d'administrateur tels que la création d'utilisateurs, la suppression d'utilisateurs, la modification des mots de passe des utilisateurs, la définition des valeurs de quorum et la désactivation du quorum et MFA des fonctionnalités.

Chaque type de service est ensuite décomposé en un nom de service éligible, qui contient un ensemble spécifique d'opérations de service prises en charge par le quorum qui peuvent être effectuées.

[1] Le service Cluster est exclusivement disponible sur hsm2m.medium

Utilisez la commande quorum token-sign list-quorum-values pour obtenir la valeur minimale du quorum pour un service.

aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 2,
    "quorum": 1
  }
}