Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Domaines et état du domaine
Un ensemble coopératif d' AWS KMS entités internes fiables au sein d'un Région AWS est appelé domaine. Un domaine comprend un ensemble d'entités de confiance, un ensemble de règles et un ensemble de clés secrètes, appelées « clés de domaine ». Les clés de domaine sont partagées entre HSMs les membres du domaine. Un état de domaine se compose des champs suivants.
- Nom
-
Un nom de domaine permettant d'identifier ce domaine.
- Members
-
Une liste de ceux HSMs qui sont membres du domaine, y compris leur clé de signature publique et leurs clés d'accord public.
- Opérateurs
-
Liste d'entités, de clés de signature publiques et d'un rôle (AWS KMS opérateur ou hôte du service) représentant les opérateurs de ce service.
- Règles
-
Une liste des règles de quorum pour chaque commande qui doit être satisfaite pour exécuter une commande sur leHSM.
- Clés de domaine
-
Une liste des clés de domaine (clés symétriques) actuellement utilisées dans le domaine.
L'état complet du domaine n'est disponible que sur leHSM. L'état du domaine est synchronisé entre les membres HSM du domaine sous forme de jeton de domaine exporté.
Clés de domaine
Tous les HSMs membres d'un domaine partagent un ensemble de clés de domaine, {DKr}. Ces clés sont partagées via une routine d'exportation d'état de domaine. L'état du domaine exporté peut être importé dans HSM n'importe quel membre du domaine.
L'ensemble des clés de domaine, {DKr}, inclut toujours une clé de domaine active et plusieurs clés de domaine désactivées. Les clés de domaine font l'objet d'une rotation quotidienne afin de garantir AWS leur conformité à la Recommandation pour la gestion des clés - Partie 1
Jetons de domaine exportés
Il existe un besoin régulier de synchroniser l'état entre les participants du domaine. Ceci est effectué en exportant l'état du domaine chaque fois qu'une modification est apportée au domaine. L'état du domaine est exporté en tant que jeton de domaine exporté.
- Nom
-
Un nom de domaine permettant d'identifier ce domaine.
- Members
-
Une liste de ceux HSMs qui sont membres du domaine, y compris leurs clés publiques de signature et d'accord.
- Opérateurs
-
Une liste d'entités, de clés de signature publiques et d'un rôle qui représentent les opérateurs de ce service.
- Règles
-
Liste des règles de quorum pour chaque commande qui doit être satisfaite pour exécuter une commande sur un membre HSM du domaine.
- Clés de domaine chiffrées
-
Clés de domaine chiffrées par enveloppe. Les clés de domaine sont chiffrées par le membre de signature pour chacun des membres mentionnés ci-dessus, enveloppées dans leur clé d'accord public.
- Signature
-
Une signature sur l'état du domaine produite par unHSM, nécessairement membre du domaine, qui a exporté l'état du domaine.
Le jeton de domaine exporté constitue la source essentielle de confiance pour les entités opérant dans le domaine.
Gestion des états de domaine
L'état du domaine est géré par des commandes authentifiées par quorum. Ces modifications incluent la modification de la liste des participants de confiance dans le domaine, la modification des règles de quorum pour l'exécution des HSM commandes et la rotation périodique des clés du domaine. Ces commandes sont authentifiées sur une base individuelle, contrairement aux opérations de séance authentifiées ; comme illustré sur l’image suivante.
Dans son état initialisé et opérationnel, an HSM contient un ensemble de clés d'identité asymétriques auto-générées, une paire de clés de signature et une paire de clés d'établissement de clés. Grâce à un processus manuel, un AWS KMS opérateur peut établir un domaine initial à créer pour la première fois HSM dans une région. Ce domaine initial se compose d'un état de domaine complet, tel que défini précédemment dans cette rubrique. Il est installé via une commande de jointure pour chacun des HSM membres définis dans le domaine.
Une fois qu'un HSM a rejoint un domaine initial, il est lié aux règles définies dans ce domaine. Ces règles régissent les commandes qui utilisent les clés cryptographiques du client ou qui modifient l'état de l'hôte ou du domaine. Les API opérations de session authentifiées qui utilisent vos clés cryptographiques ont été définies précédemment.
L'image ci-dessus illustre la manière de modifier un état de domaine. Le processus se compose de quatre étapes :
-
Une commande basée sur le quorum est envoyée à un HSM pour modifier le domaine.
-
Un nouvel état de domaine est généré et exporté en tant que nouveau jeton de domaine exporté. L'état du n'HSMest pas modifié, ce qui signifie que le changement n'est pas appliqué auHSM.
-
Une deuxième commande est envoyée à chacun des membres du jeton HSMs de domaine nouvellement exporté pour mettre à jour l'état de leur domaine avec le nouveau jeton de domaine.
-
Les éléments HSMs répertoriés dans le nouveau jeton de domaine exporté peuvent authentifier la commande et le jeton de domaine. Ils peuvent également déballer les clés de domaine pour mettre à jour l'état du domaine sur tous HSMs les éléments du domaine.
HSMsne communiquez pas directement entre vous. Au lieu de cela, un quorum d'opérateurs demande une modification de l'état du domaine, ce qui se traduit par un nouveau jeton de domaine exporté. Un hôte de service membre du domaine est utilisé pour distribuer le nouvel état du domaine HSM à tous les membres du domaine.
Le départ et l'adhésion à un domaine se font par le biais des fonctions HSM de gestion. La modification de l'état du domaine est réalisée à l'aide des fonctions de gestion du domaine.
- Quitter un domaine
-
Force un homme HSM à quitter un domaine, en supprimant de la mémoire tous les restes et les clés de ce domaine.
- Entrer dans un domaine
-
Permet HSM à un utilisateur de rejoindre un nouveau domaine ou de mettre à jour son état de domaine actuel vers le nouvel état de domaine. Le domaine existant est utilisé comme source de l'ensemble initial de règles pour authentifier ce message.
- Créer un domaine
-
Provoque la création d'un nouveau domaine sur unHSM. Renvoie un premier jeton de domaine qui peut être distribué aux membres HSMs du domaine.
- Modifier les opérateurs
-
Ajoute ou supprime des opérateurs de la liste des opérateurs autorisés et leurs rôles dans le domaine.
- Modifier des membres
-
Ajoute ou supprime un HSM dans la liste des personnes autorisées HSMs dans le domaine.
- Modifier les règles
-
Modifie l'ensemble des règles de quorum requises pour exécuter des commandes sur unHSM.
- Rotation des clés de domaine
-
Permet de créer une nouvelle clé de domaine et de la marquer comme clé de domaine active. Cela déplace la clé active existante vers une clé désactivée et supprime la clé désactivée la plus ancienne de l'état du domaine.
