Modifier les paramètres de durabilité des clés du AWS CloudHSM client

Dans le SDK client 5, la synchronisation des clés est un processus entièrement automatique. Dans le cas d'un quorum de disponibilité des clés, les clés nouvellement créées doivent exister sur deux HSMs dans le cluster pour que votre application puisse utiliser la clé. Pour utiliser le quorum de disponibilité des clés, votre cluster doit en avoir au moins deux HSMs.

Si la configuration de votre cluster ne répond pas aux principales exigences de durabilité, toute tentative de création ou d'utilisation d'une clé de jeton échouera avec le message d'erreur suivant dans les journaux :

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

Vous pouvez utiliser les paramètres de configuration du client pour désactiver le quorum de disponibilité des clés. Vous pouvez choisir de ne pas exécuter un cluster avec un seul HSM, par exemple.

Concepts du SDK client 5

Gestion des paramètres de durabilité des clés du client

Pour gérer les paramètres de durabilité des clés client, vous devez utiliser l'outil de configuration du SDK client 5.

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

Dans le SDK client 3, la synchronisation des clés est principalement un processus automatique, mais vous pouvez utiliser les paramètres de durabilité des clés client pour améliorer la durabilité des clés. Vous spécifiez le nombre de clés HSMs sur lesquelles la création de clés doit réussir pour que l'opération globale soit considérée comme une réussite. La synchronisation côté client s'efforce toujours de cloner les clés de chaque HSM du cluster, quel que soit le paramètre que vous choisissez. Votre paramètre impose la création de clés au nombre que HSMs vous spécifiez. Si vous spécifiez une valeur et que le système ne peut pas répliquer la clé à ce nombre de HSMs, le système nettoie automatiquement tout contenu de clé indésirable et vous pouvez réessayer.

Pour optimiser la durabilité des clés, pensez à en spécifier au moins deux HSMs pour la synchronisation côté client. N'oubliez pas que quel que soit le nombre HSMs que vous spécifiez, la charge de travail de votre cluster reste la même. La synchronisation côté client s'efforce toujours de cloner les clés de chaque HSM du cluster.

Recommandations

Si la synchronisation côté client échoue, le service client nettoie toutes les clés indésirables qui ont pu être créées et qui le sont désormais. Ce nettoyage est une solution au mieux qui ne fonctionne pas toujours. Si le nettoyage échoue, il se peut que vous deviez supprimer les éléments de clés indésirables. Pour de plus amples informations, veuillez consulter Échecs de synchronisation des clés.

Configuration du fichier de configuration pour la durabilité de la clé client

Pour définir les paramètres de durabilité de la clé client, vous devez modifier cloudhsm_client.cfg.

Référence de configuration

Voici les propriétés de synchronisation côté client, présentées dans un extrait du cloudhsm_client.cfg :

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}

KMU et synchronisation côté client

Si vous créez des clés à l'aide de l'outil de ligne de commande key_mgmt_util (KMU), vous utilisez un paramètre de ligne de commande facultatif (-min_srv) pour limiter le nombre de clés sur lesquelles cloner. HSMs Si vous spécifiez le paramètre de ligne de commande et une valeur dans le fichier de configuration, respectez AWS CloudHSM la plus grande des deux valeurs.

Pour plus d’informations, consultez les rubriques suivantes :

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}