Manajemen kunci dan penggunaan dengan otentikasi kuorum diaktifkan untuk menggunakan AWS CloudHSM CloudHSM CLI

Mulai CloudHSM CLI.

$ /opt/cloudhsm/bin/cloudhsm-cli interactive

Masuk ke cluster sebagai pengguna kripto.

aws-cloudhsm > login --username crypto_user1 --role crypto-user --password password123

Contoh ini crypto_user1 masuk ke CloudHSM CLI dengan peran tersebut. crypto-user Ganti nilai-nilai ini dengan nilai Anda sendiri.

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

Hasilkan token kuorum menggunakan perintah. quorum token-sign generate

Dalam perintah berikut, key-usage mengidentifikasi nama layanan di mana Anda akan menggunakan token yang Anda hasilkan. Dalam hal ini, token adalah untuk operasi penggunaan kunci (key-usagelayanan) Contoh ini menggunakan --filter bendera untuk mengaitkan token dengan kunci tertentu.

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

Contoh ini mendapatkan token kuorum untuk pengguna kripto dengan nama pengguna crypto_user1 dan menyimpan token ke file bernama. crypto_user1.token Untuk menggunakan perintah contoh berikut, ganti nilai ini dengan nilai Anda sendiri:

quorum token-sign generatePerintah menghasilkan token kuorum layanan penggunaan kunci di jalur file yang ditentukan. Anda dapat memeriksa file token:

$cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

File token terdiri dari yang berikut:

Validasi token kuorum layanan pengguna baru. quorum token-sign listPerintah mengonfirmasi bahwa token ada di CloudHSM.

aws-cloudhsm > quorum token-sign list

{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

Ini minimum-token-count menyajikan tampilan cluster agregat dari jumlah minimum token kunci yang dapat digunakan sesuai dengan nama pengguna, layanan, dan referensi kunci yang diambil dari satu HSM di cluster.

Misalnya, dengan asumsi cluster 2-HSM, jika kami menerima dua (2) token penggunaan kunci yang dihasilkan oleh pengguna crypto_user1 untuk kunci dengan referensi 0x0000000000680006 dari HSM pertama di cluster dan kami menerima satu (1) token penggunaan kunci yang dihasilkan oleh pengguna crypto_user1 untuk kunci dengan referensi 0x0000000000680006 dari HSM lain di cluster, kami akan menampilkan. "minimum-token-count": 1

Dekode token unsigned base64 yang dikodekan dan letakkan ke dalam file biner:

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

Gunakan OpenSSL dan kunci pribadi pemberi persetujuan untuk menandatangani token unsigned kuorum biner untuk layanan pengguna dan membuat file tanda tangan biner:

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

Encode tanda tangan biner ke base64:

$base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

Salin dan tempel tanda tangan yang disandikan base64 ke dalam file token, menggunakan format literal objek JSON yang ditentukan sebelumnya untuk tanda tangan pemberi persetujuan:

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}