Risoluzione di problemi relativi a store delle chiavi personalizzate

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS CloudHSM i key store sono progettati per essere disponibili e resilienti. Tuttavia, ci sono alcune condizioni di errore che potresti dover correggere per mantenere operativo l'archivio AWS CloudHSM delle chiavi.

Come correggere chiavi KMS non disponibili

Lo stato della chiave di AWS KMS keys un AWS CloudHSM key store è in genereEnabled. Come tutte le chiavi KMS, lo stato delle chiavi cambia quando si disabilitano le chiavi KMS in un archivio AWS CloudHSM chiavi o se ne pianifica l'eliminazione. Tuttavia, a differenza delle altre chiavi KMS, le chiavi KMS in un archivio delle chiavi personalizzate possono anche avere lo stato di chiave Unavailable.

Lo stato di chiave Unavailable indica che la chiave KMS si trova in un archivio delle chiavi personalizzate che è stato intenzionalmente disconnesso e che gli eventuali tentativi di riconnetterlo non sono riusciti. Quando una chiave KMS non è disponibile, puoi visualizzare e gestire la chiave KMS, ma non utilizzarla per operazioni di crittografia.

Per trovare lo stato di chiave di una chiave KMS, nella pagina Chiavi gestite cliente, visualizza il campo Stato della chiave KMS. Oppure, usa l'DescribeKeyoperazione e visualizza l'KeyStateelemento nella risposta. Per informazioni dettagliate, consultare Identifica e visualizza le chiavi.

Le chiavi KMS in uno store delle chiavi personalizzate disconnesso avranno lo stato di chiave Unavailable o PendingDeletion. Le chiavi KMS per le quali è stata pianificata l'eliminazione da un archivio delle chiavi personalizzate hanno lo stato della chiave Pending Deletion, anche quando tale archivio è disconnesso. Ciò ti consente di annullare l'eliminazione pianificata delle chiavi senza riconnettere lo store delle chiavi personalizzate.

Per correggere una chiave KMS non disponibile, riconnetti l'archivio delle chiavi personalizzate. Dopo la riconnessione, per le chiavi KMS nello store delle chiavi personalizzate viene ripristinato lo stato di chiave precedente, ovvero Enabled o Disabled. Lo stato delle chiavi KMS in attesa di eliminazione rimane PendingDeletion. Tuttavia, se il problema persiste, l'abilitazione e la disabilitazione di una chiave KMS non disponibile non ne modifica lo stato. L'abilitazione o la disabilitazione ha effetto solo quando la chiave diventa disponibile.

Per informazioni sulle connessioni non riuscite, consulta Come correggere un errore di connessione.

Come correggere una chiave KMS non funzionante

I problemi con la creazione e l'utilizzo delle chiavi KMS negli AWS CloudHSM archivi delle chiavi possono essere causati da un problema con l'archivio delle AWS CloudHSM chiavi, il AWS CloudHSM cluster associato, la chiave KMS o il relativo materiale chiave.

Quando un archivio AWS CloudHSM chiavi viene disconnesso dal relativo AWS CloudHSM cluster, lo stato delle chiavi KMS nell'archivio chiavi personalizzato è. Unavailable Tutte le richieste di creazione di chiavi KMS in un archivio di chiavi disconnesso restituiscono un' AWS CloudHSM eccezione. CustomKeyStoreInvalidStateException Tutte le richieste di crittografare, decrittografare, ricrittografare o generare chiavi di dati restituiscono un'eccezione KMSInvalidStateException. Per risolvere il problema, ricollega l'archivio delle AWS CloudHSM chiavi.

Tuttavia, i tentativi di utilizzare una chiave KMS in un archivio di AWS CloudHSM chiavi per operazioni crittografiche potrebbero fallire anche se lo stato della chiave è Enabled e lo stato di connessione dell'archivio AWS CloudHSM chiavi è uguale. Connected Ciò può essere dovuto a una qualsiasi delle condizioni seguenti.

Come correggere un errore di connessione

Se si tenta di connettere un AWS CloudHSM key store al relativo AWS CloudHSM cluster, ma l'operazione non riesce, lo stato di connessione dell'archivio AWS CloudHSM chiavi cambia inFAILED. Per trovare lo stato di connessione di un AWS CloudHSM key store, usa la AWS KMS console o l'DescribeCustomKeyStoresoperazione.

In alternativa, alcuni tentativi di connessione si interrompono rapidamente a causa di errori di configurazione del cluster facilmente rilevati. In questo caso, lo stato della connessione è ancora DISCONNECTED. Questi errori restituiranno un messaggio di errore o un'eccezione che spiega perché il tentativo non è riuscito. Esamina la descrizione dell'eccezione e i requisiti del cluster, risolvi il problema, aggiorna l'archivio delle AWS CloudHSM chiavi, se necessario, e riprova a connetterti.

Quando lo stato della connessione è FAILED impostato, esegui l'DescribeCustomKeyStoresoperazione e visualizza l'ConnectionErrorCodeelemento nella risposta.

Come rispondere a un errore di un'operazione di crittografia

L'esito di un'operazione di crittografia che utilizza una chiave KMS in un archivio di chiavi personalizzate potrebbe essere negativo con un'KMSInvalidStateException. L'eccezione KMSInvalidStateException può essere accompagnata dai seguenti messaggi di errore.

Come correggere credenziali kmsuser non valide

Quando connetti un archivio di AWS CloudHSM chiavi, AWS KMS accede al AWS CloudHSM cluster associato come utente kmsuser crittografico (CU). Rimane connesso finché il AWS CloudHSM key store non viene disconnesso. La risposta DescribeCustomKeyStores mostra un ConnectionState di FAILED e il valore ConnectionErrorCode di INVALID_CREDENTIALS, come mostrato nell'esempio seguente.

Se si disconnette il AWS CloudHSM key store e si modifica la kmsuser password, AWS KMS non è possibile accedere al AWS CloudHSM cluster con le credenziali dell'account CU. kmsuser Di conseguenza, tutti i tentativi di connessione al AWS CloudHSM key store falliscono. La risposta DescribeCustomKeyStores mostra un ConnectionState di FAILED e il valore ConnectionErrorCode di INVALID_CREDENTIALS, come mostrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Inoltre, dopo cinque tentativi di accesso al cluster non riusciti a causa di una password errata, AWS CloudHSM blocca l'account utente. Per accedere al cluster, devi modificare la password dell'account.

Se AWS KMS riceve una risposta di blocco quando tenta di accedere al cluster come kmsuser CU, la richiesta di connessione al AWS CloudHSM key store ha esito negativo. La DescribeCustomKeyStoresrisposta include un ConnectionState of FAILED e un ConnectionErrorCode valore diUSER_LOCKED_OUT, come illustrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Per correggere queste condizioni, utilizza la procedura seguente.

Come eliminare materiale della chiave orfano

Dopo aver pianificato l'eliminazione di una chiave KMS da un archivio di AWS CloudHSM chiavi, potrebbe essere necessario eliminare manualmente il materiale chiave corrispondente dal cluster associato. AWS CloudHSM

Quando crei una chiave KMS in un archivio AWS CloudHSM chiavi, AWS KMS crea i metadati della chiave KMS AWS KMS e genera il materiale chiave nel cluster associato. AWS CloudHSM Quando pianifichi l'eliminazione di una chiave KMS in un archivio AWS CloudHSM chiavi, dopo il periodo di attesa, AWS KMS elimina i metadati della chiave KMS. Quindi AWS KMS fa del suo meglio per eliminare il materiale chiave corrispondente dal cluster. AWS CloudHSM Il tentativo potrebbe fallire se AWS KMS non è possibile accedere al cluster, ad esempio quando viene disconnesso dall'archivio delle AWS CloudHSM chiavi o se la kmsuser password viene modificata. AWS KMS non tenta di eliminare il materiale chiave dai backup del cluster.

AWS KMS riporta i risultati del tentativo di eliminare il materiale chiave dal cluster nell'immissione degli DeleteKey eventi nei AWS CloudTrail log dell'utente. Appare nell'elemento backingKeysDeletionStatus dell'elemento additionalEventData, come mostrato nella seguente voce di esempio. La voce include anche l'ARN della chiave KMS, AWS CloudHSM l'ID del cluster e l'ID backing-key-id () del materiale chiave.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Le seguenti procedure mostrano come eliminare il materiale chiave orfano dal cluster associato. AWS CloudHSM

Come recuperare il materiale chiave eliminato per una chiave KMS

Se il materiale chiave di un AWS KMS key viene eliminato, la chiave KMS è inutilizzabile e tutto il testo cifrato che è stato crittografato con la chiave KMS non può essere decrittografato. Ciò può accadere se il materiale chiave per una chiave KMS in un AWS CloudHSM archivio di chiavi viene eliminato dal cluster associato. AWS CloudHSM Potrebbe tuttavia essere possibile recuperare questo materiale.

Quando crei una AWS KMS key (chiave KMS) in un archivio AWS CloudHSM chiavi, AWS KMS accede al AWS CloudHSM cluster associato e crea il materiale chiave per la chiave KMS. Inoltre, modifica la password con un valore che solo lui conosce e rimane connesso finché l'archivio delle AWS CloudHSM chiavi è connesso. Poiché solo il proprietario della chiave, ovvero la CU che ha creato una chiave, può eliminare la chiave, è improbabile che la chiave venga eliminata accidentalmente. HSMs

Tuttavia, se il materiale chiave di una chiave KMS viene eliminato da un cluster, lo stato della chiave della chiave KMS alla fine cambia HSMs in. UNAVAILABLE Se tenti di utilizzare la chiave KMS per un'operazione di crittografia, questa ha esito negativo con un'eccezione KMSInvalidStateException. Cosa più importante, tutti i dati crittografati con la chiave KMS non possono essere decrittati.

In alcuni casi, è possibile recuperare il materiale della chiave creando un cluster a partire da un backup contenente tale materiale. Questa strategia funziona solo se almeno un backup è stato creato quando la chiave esisteva e prima di essere eliminata.

Utilizza la procedura seguente per recuperare il materiale della chiave.

Come accedere come kmsuser

Per creare e gestire il materiale chiave nel AWS CloudHSM cluster per il tuo AWS CloudHSM key store, AWS KMS utilizza l'account kmsuserCrypto User (CU). Crei l'account kmsuser CU nel tuo cluster e fornisci la sua password AWS KMS quando crei il tuo archivio di AWS CloudHSM chiavi.

In generale, AWS KMS gestisce l'kmsuseraccount. Tuttavia, per alcune attività, è necessario disconnettere l'archivio delle AWS CloudHSM chiavi, accedere al cluster come kmsuser CU e utilizzare l'interfaccia a riga di comando (CLI) di CloudhSM.

Questo argomento spiega come disconnettere l'archivio AWS CloudHSM chiavi e accedere comekmsuser, eseguire lo strumento da riga di AWS CloudHSM comando, disconnettersi e ricollegare l'archivio chiavi. AWS CloudHSM

Come disconnettersi ed eseguire l'accesso

Utilizza la seguente procedura ogni volta che devi accedere a un cluster associato come utente kmsuser crittografico.

Come scollegarsi e riconnettersi

Usa la seguente procedura ogni volta che devi disconnetterti come utente kmsuser crittografico e ricollegare il tuo key store.