Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Domini e stato del dominio
Una raccolta cooperativa di AWS KMS entità interne affidabili all'interno di un Regione AWS viene definita dominio. Un dominio include un set di entità attendibili, un insieme di regole e un set di chiavi segrete, chiamate chiavi di dominio. Le chiavi di dominio sono condivise tra HSMs i membri del dominio. Uno stato di dominio è costituito dai seguenti campi:
- Nome
-
Un nome di dominio per identificare questo dominio.
- Membri
-
Un elenco di HSMs questi sono membri del dominio, inclusa la chiave di firma pubblica e le chiavi di accordo pubblico.
- Operatori
-
Un elenco di entità, chiavi di firma pubbliche e un ruolo (AWS KMS operatore o host del servizio) che rappresenta gli operatori di questo servizio.
- Regolamento
-
Un elenco di regole di quorum per ogni comando che devono essere soddisfatte per eseguire un comando su. HSM
- Chiavi di dominio
-
Un elenco di chiavi di dominio (chiavi simmetriche) attualmente in uso all'interno del dominio.
Lo stato completo del dominio è disponibile solo in. HSM Lo stato del dominio viene sincronizzato tra i membri del HSM dominio come token di dominio esportato.
Chiavi di dominio
Tutti gli utenti HSMs di un dominio condividono un set di chiavi di dominio, {rDK}. Queste chiavi vengono condivise tramite una routine di esportazione dello stato del dominio. Lo stato del dominio esportato può essere importato HSM in qualsiasi paese membro del dominio.
L'insieme di chiavi di dominio, {DKr}, include sempre una chiave di dominio attiva e diverse chiavi di dominio disattivate. Le chiavi di dominio vengono ruotate giornalmente per garantire che siano AWS conformi alla Raccomandazione per la gestione delle chiavi - Parte 1
Token di dominio esportati
Esiste una normale necessità di sincronizzare lo stato tra i partecipanti al dominio. Ciò avviene esportando lo stato del dominio ogni volta che viene apportata una modifica al dominio. Lo stato del dominio viene esportato come token di dominio esportato.
- Nome
-
Un nome di dominio per identificare questo dominio.
- Membri
-
Un elenco di quelli HSMs che sono membri del dominio, comprese le relative chiavi pubbliche per la firma e l'accordo.
- Operatori
-
Un elenco di entità, chiavi di firma pubbliche e un ruolo che rappresenta gli operatori di questo servizio.
- Regolamento
-
Un elenco di regole relative al quorum per ogni comando che devono essere soddisfatte per eseguire un comando su un membro del HSM dominio.
- Chiavi di dominio crittografate
-
Chiavi di dominio crittografate con envelope. Le chiavi di dominio vengono crittografate dal membro firmatario per ciascuno dei membri elencati sopra, con envelope nella chiave di accordo pubblico.
- Firma
-
Una firma sullo stato del dominio prodotta da un membroHSM, necessariamente, del dominio che ha esportato lo stato del dominio.
Il token di dominio esportato costituisce la base dell'attendibilità per le entità che operano all'interno del dominio.
Gestione degli stati del dominio
Lo stato del dominio viene gestito tramite comandi autenticati con quorum. Queste modifiche includono la modifica dell'elenco dei partecipanti attendibili del dominio, la modifica delle regole del quorum per l'esecuzione dei HSM comandi e la rotazione periodica delle chiavi di dominio. Questi comandi vengono autenticati in base al comando anziché alle operazioni di sessione autenticate, come illustrato nell'immagine seguente.
Nello stato inizializzato e operativo, an HSM contiene un set di chiavi di identità asimmetriche autogenerate, una coppia di chiavi di firma e una coppia di chiavi per l'impostazione delle chiavi. Tramite un processo manuale, un AWS KMS operatore può stabilire un dominio iniziale da creare per la prima volta in una regione. HSM Questo dominio iniziale è costituito da uno stato di dominio completo, come definito in precedenza in questo argomento. Viene installato tramite un comando join su ciascuno dei HSM membri definiti nel dominio.
Dopo essere HSM entrato a far parte di un dominio iniziale, è vincolato alle regole definite in quel dominio. Queste regole definiscono i comandi che utilizzano le chiavi crittografiche del cliente o apportano modifiche allo stato dell'host o del dominio. Le API operazioni di sessione autenticate che utilizzano le chiavi crittografiche sono state definite in precedenza.
L'immagine precedente mostra come viene modificato uno stato di dominio. Il processo è costituito da quattro fasi:
-
Un comando basato sul quorum viene inviato a un HSM per modificare il dominio.
-
Un nuovo stato di dominio viene generato ed esportato come nuovo token di dominio esportato. Lo stato su non HSM viene modificato, il che significa che la modifica non viene apportata su. HSM
-
Un secondo comando viene inviato a ciascuno dei membri del HSMs token di dominio appena esportato per aggiornare lo stato del dominio con il nuovo token di dominio.
-
Gli HSMs elementi elencati nel nuovo token di dominio esportato possono autenticare il comando e il token di dominio. Possono anche decomprimere le chiavi del dominio per aggiornare lo stato del dominio su tutti gli HSMs elementi del dominio.
HSMsnon comunicano direttamente tra loro. Invece, un quorum di operatori richiede una modifica allo stato del dominio che si traduce in un nuovo token di dominio esportato. Un host di servizio membro del dominio viene utilizzato per distribuire il nuovo stato del dominio HSM a tutti gli utenti del dominio.
L'uscita e l'adesione a un dominio avvengono tramite le funzioni HSM di gestione. La modifica dello stato del dominio avviene tramite le funzioni di gestione del dominio.
- Abbandona dominio
-
HSMFa sì che an lasci un dominio, eliminando tutti i resti e le chiavi di quel dominio dalla memoria.
- Unisci dominio
-
HSMFa sì che un utente si unisca a un nuovo dominio o aggiorni lo stato corrente del dominio al nuovo stato del dominio. Il dominio esistente viene utilizzato come origine del set iniziale di regole per autenticare questo messaggio.
- Crea dominio
-
Fa sì che un nuovo dominio venga creato su unHSM. Restituisce un primo token di dominio che può essere distribuito ai membri HSMs del dominio.
- Modifica operatori
-
Aggiunge o rimuove gli operatori dall'elenco degli operatori autorizzati e i relativi ruoli nel dominio.
- Modifica membri
-
Aggiunge o rimuove un utente HSM dall'elenco degli autorizzati HSMs nel dominio.
- Modifica regole
-
Modifica l'insieme di regole di quorum necessarie per eseguire comandi su un. HSM
- Ruota chiavi di dominio
-
Fa sì che una nuova chiave di dominio venga creata e contrassegnata come chiave di dominio attiva. Questo sposta la chiave attiva esistente su una chiave disattivata e rimuove la chiave disattivata più vecchia dallo stato del dominio.
