Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione di problemi relativi a store delle chiavi personalizzate

AWS CloudHSM i key store sono progettati per essere disponibili e resistenti. Tuttavia, ci sono alcune condizioni di errore che potresti dover correggere per mantenere le AWS CloudHSM archivio chiavi operativo.

Come riparare le KMS chiavi non disponibili

Lo stato chiave di AWS KMS keys in un AWS CloudHSM il key store è in genereEnabled. Come tutte le KMS chiavi, lo stato della chiave cambia quando si disabilitano le KMS chiavi in un AWS CloudHSM archivia le chiavi o pianificane l'eliminazione. Tuttavia, a differenza di altre KMS chiavi, le KMS chiavi in un archivio chiavi personalizzato possono avere anche uno stato chiave diUnavailable.

Lo stato della chiave di Unavailable indica che la KMS chiave si trova in un archivio chiavi personalizzato che è stato intenzionalmente disconnesso e che i tentativi di riconnessione, se presenti, hanno avuto esito negativo. Sebbene una KMS chiave non sia disponibile, è possibile visualizzarla e gestirlaKMS, ma non utilizzarla per operazioni crittografiche.

Per trovare lo stato della KMS chiave, nella pagina Customer managed keys, visualizza il campo Stato della KMS chiave. Oppure, utilizza l'DescribeKeyoperazione e visualizza l'KeyStateelemento nella risposta. Per informazioni dettagliate, consultare Visualizzazione di chiavi.

Le KMS chiavi in un archivio chiavi personalizzato disconnesso avranno lo stato chiave Unavailable oPendingDeletion. KMSle chiavi di cui è pianificata l'eliminazione da un archivio chiavi personalizzato hanno uno stato Pending Deletion chiave, anche quando l'archivio chiavi personalizzato è disconnesso. Ciò ti consente di annullare l'eliminazione pianificata delle chiavi senza riconnettere lo store delle chiavi personalizzate.

Per correggere una KMS chiave non disponibile, ricollega l'archivio chiavi personalizzato. Dopo la riconnessione dell'archivio chiavi personalizzato, lo stato delle KMS chiavi nell'archivio chiavi personalizzato viene automaticamente ripristinato allo stato precedente, ad Enabled esempio o. Disabled KMSle chiavi in attesa di eliminazione rimangono nello PendingDeletion stato. Tuttavia, sebbene il problema persista, l'attivazione e la disabilitazione di una KMS chiave non disponibile non ne modifica lo stato. L'abilitazione o la disabilitazione ha effetto solo quando la chiave diventa disponibile.

Per informazioni sulle connessioni non riuscite, consulta Come correggere un errore di connessione.

Come correggere una chiave difettosa KMS

Problemi con la creazione e l'utilizzo KMS delle chiavi in AWS CloudHSM gli archivi di chiavi possono essere causati da un problema con AWS CloudHSM key store, è associato AWS CloudHSM cluster, la KMS chiave o il relativo materiale chiave.

Quando un AWS CloudHSM il key store è disconnesso dal suo AWS CloudHSM cluster, lo stato chiave delle KMS chiavi nell'archivio chiavi personalizzato èUnavailable. Tutte le richieste di creazione di KMS chiavi in un ambiente disconnesso AWS CloudHSM l'archivio di chiavi restituisce un'CustomKeyStoreInvalidStateExceptioneccezione. Tutte le richieste di crittografare, decrittografare, ricrittografare o generare chiavi di dati restituiscono un'eccezione KMSInvalidStateException. Per risolvere il problema, ricollegare il AWS CloudHSM archivio chiavi.

Tuttavia, i tuoi tentativi di utilizzare una KMS chiave in un AWS CloudHSM l'archivio di chiavi per le operazioni crittografiche potrebbe fallire anche se lo stato della chiave Enabled e lo stato della connessione di AWS CloudHSM key store èConnected. Ciò può essere dovuto a una qualsiasi delle condizioni seguenti.

Come correggere un errore di connessione

Se provi a connettere un AWS CloudHSM key store al suo AWS CloudHSM cluster, ma l'operazione fallisce, lo stato della connessione di AWS CloudHSM key store cambia inFAILED. Per trovare lo stato di connessione di un AWS CloudHSM key store, usa il AWS KMS console per l'DescribeCustomKeyStoresoperazione.

In alternativa, alcuni tentativi di connessione si interrompono rapidamente a causa di errori di configurazione del cluster facilmente rilevati. In questo caso, lo stato della connessione è ancora DISCONNECTED. Questi errori restituiranno un messaggio di errore o un'eccezione che spiega perché il tentativo non è riuscito. Rivedi la descrizione dell'eccezione e i requisiti del cluster, risolvi il problema, aggiorna il AWS CloudHSM archivia le chiavi, se necessario, e riprova a connetterti.

Quando lo stato della connessione è FAILED impostato, esegui l'DescribeCustomKeyStoresoperazione e visualizza l'ConnectionErrorCodeelemento nella risposta.

Come rispondere a un errore di un'operazione di crittografia

Un'operazione crittografica che utilizza una KMS chiave in un archivio di chiavi personalizzato potrebbe non riuscire con unKMSInvalidStateException. L'eccezione KMSInvalidStateException può essere accompagnata dai seguenti messaggi di errore.

Come correggere credenziali kmsuser non valide

Quando si connette un AWS CloudHSM archivio chiavi, AWS KMS accede al file associato AWS CloudHSM raggruppa come utente kmsuser crittografico (CU). Rimane connesso fino al AWS CloudHSM il key store è disconnesso. La DescribeCustomKeyStoresrisposta mostra un ConnectionState of FAILED e un ConnectionErrorCode valore diINVALID_CREDENTIALS, come illustrato nell'esempio seguente.

Se si disconnette il AWS CloudHSM memorizza le chiavi e modifica la kmsuser password, AWS KMS non può accedere a AWS CloudHSM cluster con le credenziali dell'account kmsuser CU. Di conseguenza, tutti i tentativi di connettere il AWS CloudHSM l'archivio delle chiavi fallisce. La risposta DescribeCustomKeyStores mostra un ConnectionState di FAILED e il valore ConnectionErrorCode di INVALID_CREDENTIALS, come mostrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Inoltre, dopo cinque tentativi falliti di accesso al cluster con una password errata, AWS CloudHSM blocca l'account utente. Per accedere al cluster, devi modificare la password dell'account.

Se AWS KMS riceve una risposta di blocco quando tenta di accedere al cluster come kmsuser CU, la richiesta di connessione AWS CloudHSM l'archivio delle chiavi fallisce. La DescribeCustomKeyStoresrisposta include un ConnectionState of FAILED e un ConnectionErrorCode valore diUSER_LOCKED_OUT, come illustrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Per correggere queste condizioni, utilizza la procedura seguente.

Come eliminare materiale della chiave orfano

Dopo aver pianificato l'eliminazione di una KMS chiave da un AWS CloudHSM archivio chiavi, potrebbe essere necessario eliminare manualmente il materiale chiave corrispondente dal relativo archivio AWS CloudHSM grappolo.

Quando si crea una KMS chiave in un AWS CloudHSM archivio chiavi, AWS KMS crea i metadati KMS chiave in AWS KMS e genera il materiale chiave nel file associato AWS CloudHSM grappolo. Quando si pianifica l'eliminazione di una KMS chiave in un AWS CloudHSM archivio chiavi, dopo il periodo di attesa, AWS KMS elimina i metadati KMS chiave. Quindi AWS KMS fa del suo meglio per eliminare il materiale chiave corrispondente dal AWS CloudHSM grappolo. Il tentativo potrebbe fallire se AWS KMS non può accedere al cluster, ad esempio quando è disconnesso dal AWS CloudHSM key store o modifiche alla kmsuser password. AWS KMS non tenta di eliminare il materiale chiave dai backup del cluster.

AWS KMS riporta i risultati del suo tentativo di eliminare il materiale chiave dal cluster nell'DeleteKeyevento inserito nel AWS CloudTrail registri. Appare nell'elemento backingKeysDeletionStatus dell'elemento additionalEventData, come mostrato nella seguente voce di esempio. La voce include anche la KMS chiaveARN, la AWS CloudHSM ID del cluster e ID (backing-key-id) del materiale chiave.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Le seguenti procedure mostrano come eliminare il materiale chiave orfano dal relativo AWS CloudHSM grappolo.

Come recuperare il materiale chiave cancellato per una KMS chiave

Se il materiale chiave per un AWS KMS key viene eliminato, la KMS chiave è inutilizzabile e tutto il testo cifrato crittografato con la KMS chiave non può essere decrittografato. Questo può accadere se il materiale chiave di una chiave è un KMS AWS CloudHSM l'archivio delle chiavi viene eliminato dall'archivio associato AWS CloudHSM cluster. Potrebbe tuttavia essere possibile recuperare questo materiale.

Quando si crea un AWS KMS key (KMSchiave) in un AWS CloudHSM archivio chiavi, AWS KMS accede al file associato AWS CloudHSM raggruppa e crea il materiale chiave per la KMS chiave. Inoltre, modifica la password con un valore che solo lui conosce e rimane connesso finché AWS CloudHSM il key store è connesso. Poiché solo il proprietario della chiave, ovvero la CU che ha creato una chiave, può eliminare la chiave, è improbabile che la chiave venga eliminata HSMs accidentalmente.

Tuttavia, se il materiale chiave di una KMS chiave viene eliminato da un cluster, lo stato della KMS chiave alla fine cambia HSMs in. UNAVAILABLE Se si tenta di utilizzare la KMS chiave per un'operazione di crittografia, l'operazione ha esito negativo con un'KMSInvalidStateExceptioneccezione. Soprattutto, i dati crittografati con la KMS chiave non possono essere decrittografati.

In alcuni casi, è possibile recuperare il materiale della chiave creando un cluster a partire da un backup contenente tale materiale. Questa strategia funziona solo se almeno un backup è stato creato quando la chiave esisteva e prima di essere eliminata.

Utilizza la procedura seguente per recuperare il materiale della chiave.

Come accedere come kmsuser

Per creare e gestire il materiale chiave nel AWS CloudHSM cluster per il tuo AWS CloudHSM archivio chiavi, AWS KMS utilizza l'account kmsuser Crypto User (CU). Crei l'account kmsuser CU nel tuo cluster e fornisci la sua password a AWS KMS quando crei il tuo AWS CloudHSM negozio di chiavi.

In generale, AWS KMS gestisce l'kmsuseraccount. Tuttavia, per alcune attività, è necessario disconnettere il AWS CloudHSM key store, accedi al cluster come kmsuser CU e usa la Cloud HSM Command Line Interface () CLI.

Questo argomento spiega come disconnettere il AWS CloudHSM archivia le chiavi e accedi comekmsuser, esegui il AWS CloudHSM strumento da riga di comando, quindi disconnettiti e riconnetti il tuo AWS CloudHSM archivio chiavi.

Come disconnettersi ed eseguire l'accesso

Utilizza la seguente procedura ogni volta che devi accedere a un cluster associato come utente kmsuser crittografico.

Come scollegarsi e riconnettersi

Usa la seguente procedura ogni volta che devi disconnetterti come utente kmsuser crittografico e ricollegare il tuo key store.