Configura l'autenticazione del quorum per gli AWS CloudHSM amministratori tramite Cloud HSM CLI

L'esempio seguente mostra come utilizzare Open per creare una RSA chiave SSL a 2048 bit protetta da una passphrase. Per utilizzare questo esempio, sostituisci <admin.key> con il nome del file in cui si desidera memorizzare la chiave.

$ openssl genrsa -out <admin.key> -aes256 2048
Generating RSA private key, 2048 bit long modulus
.....................................+++
.+++
e is 65537 (0x10001)
Enter pass phrase for admin.key:
Verifying - Enter pass phrase for admin.key:

L'esempio seguente mostra come utilizzare Open SSL per creare una chiave pubblica dalla chiave privata appena creata.

$ openssl rsa -in admin.key -outform PEM -pubout -out admin1.pub
Enter pass phrase for admin.key:
writing RSA key

L'esempio seguente mostra come utilizzare il user change-quorum token-sign register comando in Cloud HSM CLI per registrare la chiave pubblica di un amministratore con. HSM Per utilizzare questo comando, l'amministratore deve accedere a. HSM Sostituire questi valori con i propri valori:

aws-cloudhsm > user change-quorum token-sign register --public-key </path/admin.pub> --signed-token </path/tokenfile>
{
  "error_code": 0,
  "data": {
    "username": "admin",
    "role": "admin"
  }
}

Una volta che tutti gli amministratori hanno registrato le proprie chiavi pubbliche, l'output del comando user list mostra l'avvenuta registrazione nel campo del quorum, indicando la strategia del quorum abilitata in uso, come illustrato di seguito:

aws-cloudhsm > user list
{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin2",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin3",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin4",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "app_user",
        "role": "internal(APPLIANCE_USER)",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      }
    ]
  }
}

Questo esempio utilizza un valore minimo del quorum pari a due (2). Puoi scegliere qualsiasi valore da due (2) a otto (8), fino al numero totale di amministratori su. HSM In questo esempio, HSM ha quattro (4) amministratori, quindi il valore massimo possibile è quattro (4).

Per utilizzare il seguente comando di esempio, sostituite il numero finale (<2>) con il valore minimo del quorum preferito.

aws-cloudhsm > quorum token-sign set-quorum-value --service user --value <2>
{
  "error_code": 0,
  "data": "Set quorum value successful"
}

In questo esempio, il servizio identifica il servizio di cui si sta impostando il HSM valore minimo del quorum. Il Mostra i valori del quorum utilizzando Cloud HSM CLI comando elenca i tipi, i nomi e le descrizioni dei servizi inclusi nel HSM servizio.

Servizi di amministrazione: l'autenticazione quorum viene utilizzata per servizi con privilegi di amministratore come la creazione di utenti, l'eliminazione di utenti, la modifica delle password degli utenti, l'impostazione dei valori del quorum e la disattivazione del quorum e delle funzionalità. MFA

Ogni tipo di servizio è ulteriormente suddiviso in un nome di servizio qualificante, che contiene un set specifico di operazioni di servizio supportate dal quorum che possono essere eseguite.

[1] Il servizio cluster è disponibile esclusivamente su hsm2m.medium

Utilizza il comando quorum token-sign list-quorum-values per ottenere il valore minimo del quorum per un servizio:

aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 2,
    "quorum": 1
  }
}