Importa una chiave privata usando AWS CloudHSM KMU - AWS CloudHSM
SintassiEsempiParametriArgomenti correlati

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Importa una chiave privata usando AWS CloudHSM KMU

Utilizzate il importPrivateKey comando in AWS CloudHSM key_mgmt_util per importare una chiave privata asimmetrica da un file a un modulo di sicurezza hardware (). HSM HSMNon consente l'importazione diretta di chiavi in cleartext. Il comando cripta la chiave privata utilizzando una chiave di AES avvolgimento specificata dall'utente e decompone la chiave all'interno di. HSM Se state cercando di associare una AWS CloudHSM chiave a un certificato, fate riferimento a questo argomento.

Nota

Non è possibile importare una PEM chiave protetta da password utilizzando una chiave simmetrica o privata.

È necessario specificare una chiave di AES wrapping con un valore di attributo. OBJ_ATTR_UNWRAP OBJ_ATTR_ENCRYPT 1 Per trovare gli attributi della chiave, utilizza il comando getAttribute.

Nota

Questo comando non offre la possibilità di contrassegnare la chiave importata come non esportabile.

Prima di eseguire qualsiasi comando key_mgmt_util, è necessario avviare key_mgmt_util e accedere come utente crittografico (CU). HSM

Sintassi

importPrivateKey -h

importPrivateKey -l <label>
                 -f <key-file>
                 -w <wrapping-key-handle>
                 [-sess]
                 [-id <key-id>]
                 [-m_value <0...8>]
                 [min_srv <minimum-number-of-servers>]
                 [-timeout <number-of-seconds>]
                 [-u <user-ids>]
                 [-wk <wrapping-key-file>]
                 [-attest]

Esempi

Questo esempio mostra come importare una chiave privata in un. importPrivateKey HSM

Esempio : Importare una chiave privata

Questo comando importa la chiave privata da un file denominato rsa2048.key con l'etichetta rsa2048-imported e una chiave di wrapping con handle 524299. Quando il comando viene completato, importPrivateKey restituisce un'handle per la chiave importata e un messaggio di successo.

Command: importPrivateKey -f rsa2048.key -l rsa2048-imported -w 524299

BER encoded key length is 1216

Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS

Cfm3CreateUnwrapTemplate returned: 0x00 : HSM Return: SUCCESS

Cfm3UnWrapKey returned: 0x00 : HSM Return: SUCCESS

Private Key Unwrapped.  Key Handle: 524301

Cluster Error Status
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS

Parametri

Questo comando accetta i parametri seguenti.

-h

Visualizza il testo di aiuto per il comando.

Campo obbligatorio: sì

-l

Specifica un'etichetta definita dall'utente per la chiave privata.

Campo obbligatorio: sì

-f

Specifica il nome del file della chiave da importare.

Campo obbligatorio: sì

-w

Specifica l'handle di una chiave di wrapping. Questo parametro è obbligatorio. Per trovare le handle della chiave, utilizza il comando findKey.

Per determinare se una chiave può essere utilizzata come chiave di wrapping, utilizzare getAttribute per ottenere il valore dell'attributo OBJ_ATTR_WRAP (262). Per creare una chiave di avvolgimento, usa genSymKeyper creare una AES chiave (tipo 31).

Se utilizzi il parametro -wk per specificare una chiave di unwrapping esterna, la chiave di wrapping -w viene utilizzata per eseguire il wrapping della chiave durante l'importazione, ma non per annullarlo.

Campo obbligatorio: sì

-sess

Specifica la chiave importata come una chiave di sessione.

Impostazione predefinita: la chiave importata è detenuta come persistente (token) nel cluster.

Campo obbligatorio: no

-id

Specifica l'ID della chiave da importare.

Impostazione predefinita: nessun valore ID.

Campo obbligatorio: no

-m_value

Specifica il numero di utenti che devono approvare le operazioni di cifratura che utilizzano la chiave importata. Inserire un valore da 0 a 8.

Questo parametro è valido soltanto quando il parametro -u nel comando condivide la chiave con un numero sufficiente di utenti per soddisfare il requisito m_value.

Impostazione Predefinita: 0

Campo obbligatorio: no

-min_srv

Speciifica il numero minimo HSMs su cui la chiave importata viene sincronizzata prima della scadenza del valore del -timeout parametro. Se la chiave non è sincronizzata sul numero di server specificato nel tempo allocato, non viene creata.

AWS CloudHSM sincronizza automaticamente ogni chiave con tutte le chiavi del cluster. HSM Per velocizzare il processo, impostate un valore inferiore min_srv al numero di componenti del HSMs cluster e impostate un valore di timeout basso. Tuttavia, alcune richieste potrebbero non generare una chiave.

Impostazione predefinita: 1

Campo obbligatorio: no

-timout

Speciifica il numero di secondi di attesa per la sincronizzazione della chiave HSMs quando il min-serv parametro è incluso. Se non viene specificato un numero, il processo prosegue a tempo indefinito.

Impostazione predefinita: nessun limite

Campo obbligatorio: no

-u

Specifica l'elenco degli utenti con cui condividere la chiave privata importata. Questo parametro fornisce agli altri utenti di HSM crittografia (CUs) il permesso di utilizzare la chiave importata nelle operazioni crittografiche.

Immettete un elenco di HSM utenti IDs separati da virgole, ad esempio. -u 5,6 Non includere l'ID HSM utente dell'utente corrente. Per trovare l'HSMutente IDs di CUs on theHSM, usa listUsers.

Impostazione predefinita: soltanto l'utente attuale può utilizzare la chiave importata.

Campo obbligatorio: no

-wk

Specifica la chiave da utilizzare per eseguire il wrapping della chiave importata. Immettete il percorso e il nome di un file che contiene una chiave di testo sempliceAES.

Quando si include questo parametro, importPrivateKey utilizza la chiave nel file -wk per eseguire il wrapping della chiave importata. Utilizza inoltre la chiave specificata dal parametro -w per annullare il wrapping.

Impostazione predefinita: Utilizza il codice di wrapping specificato nel parametro -w per eseguire il wrapping e per annullarlo.

Campo obbligatorio: no

-attest

Esegue un controllo di attestazione sulla risposta firmware per assicurare che il firmware su cui viene eseguito il cluster non è stata compromesso.

Campo obbligatorio: no

Argomenti correlati