Gestione e utilizzo delle chiavi con autenticazione quorum abilitata per l'utilizzo della CLI di AWS CloudHSM CloudHSM

Avvia CloudhSM CLI.

$ /opt/cloudhsm/bin/cloudhsm-cli interactive

Accedi al cluster come utente crittografico.

aws-cloudhsm > login --username crypto_user1 --role crypto-user --password password123

Questo esempio accede crypto_user1 alla CLI di CloudHSM con il ruolo. crypto-user Sostituisci questi valori con i tuoi.

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

Genera un token di quorum utilizzando il quorum token-sign generate comando.

Nel comando seguente, key-usage identifica il nome del servizio in cui utilizzerai il token che stai generando. In questo caso, il token serve per le operazioni di utilizzo delle chiavi (key-usageservizio). Questo esempio utilizza il --filter flag per associare il token a una chiave specifica.

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

Questo esempio ottiene un token quorum per l'utente crittografico con nome utente crypto_user1 e lo salva in un file denominato. crypto_user1.token Per utilizzare il comando di esempio, sostituisci i valori i tuoi personali:

Il quorum token-sign generate comando genera un token quorum del servizio di utilizzo delle chiavi nel percorso del file specificato. È possibile ispezionare il file del token:

$cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

Il file del token comprende:

Convalida il nuovo token del quorum del servizio utente. Il quorum token-sign list comando conferma che il token esiste su CloudHSM.

aws-cloudhsm > quorum token-sign list

{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

minimum-token-countPresenta una visualizzazione aggregata del cluster del numero minimo utilizzabile di token chiave corrispondenti al nome utente, al servizio e al riferimento chiave recuperati da un singolo HSM nel cluster.

Ad esempio, supponendo un cluster 2-HSM, se riceviamo due (2) token di utilizzo delle chiavi generati dall'utente crypto_user1 per la chiave con riferimento 0x0000000000680006 dal primo HSM del cluster e riceviamo un (1) token di utilizzo delle chiavi generati dall'utente crypto_user1 per la chiave con riferimento 0x0000000000680006 dall'altro HSM del cluster, visualizzeremo"minimum-token-count": 1.

Decodifica il token non firmato con codifica base64 e inseriscilo in un file binario:

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

Usa OpenSSL e la chiave privata dell'approvatore per firmare il token unsigned del quorum binario per il servizio utente e creare un file di firma binario:

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

Codifica la firma binaria in base64:

$base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

Copia e incolla la firma codificata base64 nel file token, utilizzando il formato letterale dell'oggetto JSON specificato in precedenza per la firma dell'approvatore:

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}