Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
AWS CloudHSM praktik terbaik manajemen utama
Ikuti praktik terbaik di bagian ini saat mengelola kunci di AWS CloudHSM.
Pilih jenis kunci yang tepat
Saat menggunakan kunci sesi, transaksi per detik (TPS) Anda akan dibatasi pada satu HSM di mana kunci tersebut ada. HSM tambahan di cluster Anda tidak akan meningkatkan throughput permintaan untuk kunci tersebut. Jika Anda menggunakan kunci token untuk aplikasi yang sama, permintaan Anda akan diimbangi beban di semua HSM yang tersedia di cluster Anda. Untuk informasi selengkapnya, lihat Sinkronisasi kunci dan pengaturan daya tahan di AWS CloudHSM.
Kelola batas penyimpanan kunci
HSM memiliki batasan pada jumlah maksimum token dan kunci sesi yang dapat disimpan pada HSM pada satu waktu. Untuk informasi tentang batas penyimpanan utama, lihatAWS CloudHSM kuota. Jika aplikasi Anda memerlukan lebih dari batas, Anda dapat menggunakan satu atau beberapa strategi berikut untuk mengelola kunci secara efektif:
Gunakan pembungkus tepercaya untuk menyimpan kunci Anda di penyimpanan data eksternal: Menggunakan pembungkus kunci tepercaya, Anda dapat mengatasi batas penyimpanan kunci dengan menyimpan semua kunci yang dibungkus di dalam penyimpanan data eksternal. Ketika Anda diminta untuk menggunakan kunci ini, Anda dapat membuka kunci ke dalam HSM sebagai kunci sesi, menggunakan kunci untuk operasi yang Anda butuhkan, dan kemudian membuang kunci sesi. Data kunci asli tetap disimpan dengan aman di penyimpanan data Anda untuk digunakan kapan pun Anda membutuhkannya. Menggunakan kunci tepercaya untuk melakukan ini memaksimalkan perlindungan Anda.
Mendistribusikan kunci di seluruh cluster: Strategi lain untuk mengatasi batas penyimpanan kunci adalah menyimpan kunci Anda di beberapa cluster. Dalam pendekatan ini, Anda mempertahankan pemetaan kunci yang disimpan di setiap cluster. Gunakan pemetaan ini untuk merutekan permintaan klien Anda ke cluster dengan kunci yang diperlukan. Untuk informasi tentang cara menyambung ke beberapa cluster dari aplikasi klien yang sama, lihat topik berikut:
Mengelola dan mengamankan pembungkus kunci
Kunci dapat ditandai baik dapat diekstraksi atau tidak dapat diekstraksi melalui atribut. EXTRACTABLE Secara default, kunci HSM ditandai sebagai dapat diekstraksi.
Kunci yang dapat diekstraksi adalah kunci yang diizinkan untuk diekspor dari HSM melalui pembungkus kunci. Kunci yang dibungkus dienkripsi, dan harus dibuka menggunakan kunci pembungkus yang sama sebelum dapat digunakan. Non-extractable kunci tidak boleh diekspor dari HSM dalam keadaan apa pun. Tidak ada cara untuk membuat kunci yang tidak dapat diekstraksi dapat diekstraksi. Untuk alasan ini, penting untuk mempertimbangkan apakah Anda memerlukan kunci Anda untuk dapat diekstraksi atau tidak dan untuk mengatur atribut kunci yang sesuai dengan itu.
Jika Anda memerlukan pembungkus kunci dalam aplikasi Anda, Anda harus menggunakan pembungkus kunci tepercaya untuk membatasi kemampuan pengguna HSM Anda hanya untuk wrap/unwrap kunci yang telah secara eksplisit ditandai sebagai dipercaya oleh admin. Untuk informasi selengkapnya, lihat topik tentang pembungkus kunci tepercayaKunci di AWS CloudHSM.
Sumber daya terkait
