Memecahkan masalah penyimpanan kunci kustom

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS CloudHSM toko-toko utama dirancang agar tersedia dan tangguh. Namun, ada beberapa kondisi kesalahan yang mungkin harus Anda perbaiki agar toko AWS CloudHSM kunci Anda tetap beroperasi.

Cara memperbaiki kunci KMS yang tidak tersedia

Keadaan kunci AWS KMS keys di toko AWS CloudHSM kunci biasanyaEnabled. Seperti semua kunci KMS, status kunci berubah ketika Anda menonaktifkan kunci KMS di toko AWS CloudHSM kunci atau menjadwalkannya untuk dihapus. Namun, tidak seperti kunci KMS lainnya, kunci KMS di toko kunci khusus juga dapat memiliki status kunci. Unavailable

Status kunci Unavailable menunjukkan bahwa kunci KMS berada di penyimpanan kunci khusus yang sengaja terputus dan mencoba untuk menghubungkannya kembali, jika ada, gagal. Meskipun kunci KMS tidak tersedia, Anda dapat melihat dan mengelola kunci KMS, tetapi Anda tidak dapat menggunakannya untuk operasi kriptografi.

Untuk menemukan status kunci kunci KMS, pada halaman Kunci yang dikelola Pelanggan, lihat bidang Status kunci KMS. Atau, gunakan DescribeKeyoperasi dan lihat KeyState elemen dalam respons. Untuk detailnya, lihat Identifikasi dan lihat kunci.

Kunci KMS di toko kunci kustom yang terputus akan memiliki status kunci atau. Unavailable PendingDeletion Kunci KMS yang dijadwalkan untuk dihapus dari toko kunci khusus memiliki status Pending Deletion kunci, bahkan ketika toko kunci khusus terputus. Hal ini memungkinkan Anda membatalkan penghapusan kunci terjadwal tanpa menghubungkan kembali penyimpanan kunci kustom.

Untuk memperbaiki kunci KMS yang tidak tersedia, sambungkan kembali toko kunci kustom. Setelah penyimpanan kunci kustom terhubung kembali, status kunci kunci KMS di toko kunci kustom secara otomatis dikembalikan ke keadaan sebelumnya, seperti Enabled atau. Disabled Kunci KMS yang tertunda penghapusan tetap berada di negara bagian. PendingDeletion Namun, sementara masalah tetap ada, mengaktifkan dan menonaktifkan kunci KMS yang tidak tersedia tidak mengubah status kuncinya. Tindakan mengaktifkan atau menonaktifkan hanya berlaku ketika kunci menjadi tersedia.

Untuk bantuan dengan koneksi yang gagal, lihat Cara memperbaiki kegagalan koneksi.

Cara memperbaiki kunci KMS yang gagal

Masalah dengan membuat dan menggunakan kunci KMS di toko-toko AWS CloudHSM utama dapat disebabkan oleh masalah dengan toko AWS CloudHSM kunci Anda, AWS CloudHSM cluster terkait, kunci KMS, atau materi utamanya.

Ketika penyimpanan AWS CloudHSM kunci terputus dari AWS CloudHSM klasternya, status kunci kunci KMS di toko kunci kustom adalah. Unavailable Semua permintaan untuk membuat kunci KMS di toko AWS CloudHSM kunci yang terputus mengembalikan pengecualian. CustomKeyStoreInvalidStateException Semua permintaan untuk mengenkripsi, mendekripsi, mengenkripsi ulang, atau menghasilkan kunci data mengembalikan pengecualian KMSInvalidStateException. Untuk memperbaiki masalah, sambungkan kembali toko AWS CloudHSM kunci.

Namun, upaya Anda untuk menggunakan kunci KMS di penyimpanan AWS CloudHSM kunci untuk operasi kriptografi mungkin gagal bahkan ketika status kuncinya Enabled dan status koneksi penyimpanan AWS CloudHSM kunci adalah. Connected Ini mungkin disebabkan oleh salah satu kondisi berikut.

Cara memperbaiki kegagalan koneksi

Jika Anda mencoba menghubungkan penyimpanan AWS CloudHSM kunci ke AWS CloudHSM klasternya, tetapi operasi gagal, status koneksi penyimpanan AWS CloudHSM kunci berubah menjadiFAILED. Untuk menemukan status koneksi penyimpanan AWS CloudHSM kunci, gunakan AWS KMS konsol atau DescribeCustomKeyStoresoperasi.

Atau, beberapa upaya koneksi gagal dengan cepat karena kesalahan konfigurasi klaster dengan mudah terdeteksi. Dalam hal ini, status koneksi masihDISCONNECTED. Kegagalan ini mengembalikan pesan kesalahan atau pengecualian yang menjelaskan mengapa percobaan mengalami kegagalan. Tinjau deskripsi pengecualian dan persyaratan cluster, perbaiki masalah, perbarui toko AWS CloudHSM kunci, jika perlu, dan coba sambungkan lagi.

Ketika status koneksiFAILED, jalankan DescribeCustomKeyStoresoperasi dan lihat ConnectionErrorCode elemen dalam respons.

Bagaimana menanggapi kegagalan operasi kriptografi

Operasi kriptografi yang menggunakan kunci KMS di toko kunci khusus mungkin gagal dengan file. KMSInvalidStateException Pesan kesalahan berikut mungkin menyertaiKMSInvalidStateException.

Cara memperbaiki kredensial kmsuser tidak valid

Saat Anda menghubungkan penyimpanan AWS CloudHSM kunci, AWS KMS masuk ke AWS CloudHSM klaster terkait sebagai pengguna kmsuser kripto (CU). Itu tetap masuk sampai toko AWS CloudHSM kunci terputus. Respons DescribeCustomKeyStores menunjukkan ConnectionState dari nilai FAILED dan ConnectionErrorCode dari INVALID_CREDENTIALS, seperti yang ditunjukkan dalam contoh berikut.

Jika Anda memutuskan penyimpanan AWS CloudHSM kunci dan mengubah kmsuser kata sandi, AWS KMS tidak dapat masuk ke AWS CloudHSM cluster dengan kredensi akun CU. kmsuser Akibatnya, semua upaya untuk menghubungkan toko AWS CloudHSM kunci gagal. Respons DescribeCustomKeyStores menunjukkan ConnectionState dari nilai FAILED dan ConnectionErrorCode dari INVALID_CREDENTIALS, seperti yang ditunjukkan dalam contoh berikut.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Selain itu, setelah lima kali percobaan gagal untuk login ke klaster dengan kata sandi yang salah, AWS CloudHSM mengunci akun pengguna. Untuk login ke klaster, Anda harus mengubah kata sandi akun.

Jika AWS KMS mendapat respons penguncian saat mencoba masuk ke cluster sebagai kmsuser CU, permintaan untuk menghubungkan penyimpanan AWS CloudHSM kunci gagal. DescribeCustomKeyStoresRespons termasuk ConnectionState dari FAILED dan ConnectionErrorCode nilaiUSER_LOCKED_OUT, seperti yang ditunjukkan pada contoh berikut.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Untuk memperbaiki salah satu kondisi ini, gunakan prosedur berikut.

Cara menghapus material kunci tanpa induk

Setelah menjadwalkan penghapusan kunci KMS dari penyimpanan AWS CloudHSM kunci, Anda mungkin perlu menghapus materi kunci yang sesuai secara manual dari cluster terkait. AWS CloudHSM

Saat Anda membuat kunci KMS di penyimpanan AWS CloudHSM kunci, AWS KMS buat metadata kunci KMS AWS KMS dan buat materi kunci di cluster terkait. AWS CloudHSM Saat Anda menjadwalkan penghapusan kunci KMS di toko AWS CloudHSM kunci, setelah masa tunggu, AWS KMS menghapus metadata kunci KMS. Kemudian AWS KMS lakukan upaya terbaik untuk menghapus materi kunci yang sesuai dari AWS CloudHSM cluster. Upaya mungkin gagal jika AWS KMS tidak dapat mengakses klaster, seperti ketika terputus dari penyimpanan AWS CloudHSM kunci atau perubahan kmsuser kata sandi. AWS KMS tidak mencoba menghapus materi kunci dari cadangan cluster.

AWS KMS melaporkan hasil upayanya untuk menghapus materi kunci dari cluster dalam entri DeleteKey peristiwa AWS CloudTrail log Anda. Muncul dalam backingKeysDeletionStatus elemen additionalEventData elemen, seperti yang ditunjukkan pada entri contoh berikut. Entri ini juga mencakup ARN kunci KMS, AWS CloudHSM ID cluster, dan ID backing-key-id () dari materi kunci.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Prosedur berikut menunjukkan cara menghapus materi kunci yatim piatu dari cluster terkait. AWS CloudHSM

Bagaimana memulihkan materi kunci yang dihapus untuk kunci KMS

Jika materi kunci untuk sebuah AWS KMS key dihapus, kunci KMS tidak dapat digunakan dan semua ciphertext yang dienkripsi di bawah kunci KMS tidak dapat didekripsi. Hal ini dapat terjadi jika materi kunci untuk kunci KMS di penyimpanan AWS CloudHSM kunci dihapus dari AWS CloudHSM cluster terkait. Namun, itu mungkin untuk memulihkan material kunci.

Saat Anda membuat AWS KMS key (kunci KMS) di penyimpanan AWS CloudHSM kunci, AWS KMS log ke AWS CloudHSM cluster terkait dan membuat materi kunci untuk kunci KMS. Ini juga mengubah kata sandi ke nilai yang hanya diketahui dan tetap masuk selama penyimpanan AWS CloudHSM kunci terhubung. Karena hanya pemilik kunci, yaitu CU yang membuat kunci, dapat menghapus kunci, kecil kemungkinannya kunci akan dihapus dari yang HSMs tidak sengaja.

Namun, jika materi kunci untuk kunci KMS dihapus dari HSMs dalam cluster, status kunci dari kunci KMS akhirnya berubah menjadi. UNAVAILABLE Jika Anda mencoba menggunakan kunci KMS untuk operasi kriptografi, operasi gagal dengan KMSInvalidStateException pengecualian. Yang terpenting, data apa pun yang dienkripsi di bawah kunci KMS tidak dapat didekripsi.

Dalam keadaan tertentu, Anda dapat memulihkan material kunci yang dihapus dengan membuat klaster dari cadangan yang berisi material utama. Strategi ini hanya berfungsi ketika setidaknya satu cadangan dibuat sementara kunci pernah ada dan sebelumnya dihapus.

Gunakan proses berikut untuk memulihkan material utama.

Cara login sebagai kmsuser

Untuk membuat dan mengelola materi utama di AWS CloudHSM cluster untuk toko AWS CloudHSM kunci Anda, AWS KMS gunakan akun pengguna kmsuser kripto (CU). Anda membuat akun kmsuser CU di cluster Anda dan memberikan kata sandinya AWS KMS saat Anda membuat toko AWS CloudHSM kunci Anda.

Secara umum, AWS KMS mengelola kmsuser akun. Namun, untuk beberapa tugas, Anda perlu memutuskan penyimpanan AWS CloudHSM kunci, masuk ke cluster sebagai kmsuser CU, dan menggunakan CloudHSM Command Line Interface (CLI).

Topik ini menjelaskan cara memutuskan penyimpanan AWS CloudHSM kunci Anda dan masuk sebagaikmsuser, menjalankan alat baris AWS CloudHSM perintah, dan keluar dan menghubungkan kembali toko AWS CloudHSM kunci Anda.

Cara memutuskan koneksi dan login

Gunakan prosedur berikut setiap kali perlu masuk ke cluster terkait sebagai pengguna kmsuser kripto.

Cara logout dan menghubungkan kembali

Gunakan prosedur berikut setiap kali Anda harus keluar sebagai pengguna kmsuser kripto dan sambungkan kembali toko kunci Anda.