Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione di problemi relativi a store delle chiavi personalizzate

AWS CloudHSM i key store sono progettati per essere disponibili e resistenti. Tuttavia, ci sono alcune condizioni di errore che potresti dover correggere per mantenere operativo l'archivio AWS CloudHSM delle chiavi.

Come correggere le KMS chiavi non disponibili

Lo stato della chiave AWS KMS keys in un archivio di AWS CloudHSM chiavi è in genereEnabled. Come tutte le KMS chiavi, lo stato della chiave cambia quando si disabilitano le KMS chiavi in un archivio AWS CloudHSM chiavi o se ne pianifica l'eliminazione. Tuttavia, a differenza di altre KMS chiavi, le KMS chiavi in un archivio chiavi personalizzato possono avere anche uno stato chiave diUnavailable.

Lo stato della chiave di Unavailable indica che la KMS chiave si trova in un archivio chiavi personalizzato che è stato intenzionalmente disconnesso e che i tentativi di riconnessione, se presenti, hanno avuto esito negativo. Sebbene una KMS chiave non sia disponibile, è possibile visualizzarla e gestirlaKMS, ma non utilizzarla per operazioni crittografiche.

Per trovare lo stato della KMS chiave, nella pagina Customer managed keys, visualizza il campo Stato della KMS chiave. Oppure, utilizza l'DescribeKeyoperazione e visualizza l'KeyStateelemento nella risposta. Per informazioni dettagliate, consultare Identifica e visualizza le chiavi.

Le KMS chiavi in un archivio chiavi personalizzato disconnesso avranno lo stato chiave Unavailable oPendingDeletion. KMSle chiavi di cui è pianificata l'eliminazione da un archivio chiavi personalizzato hanno uno stato Pending Deletion chiave, anche quando l'archivio chiavi personalizzato è disconnesso. Ciò ti consente di annullare l'eliminazione pianificata delle chiavi senza riconnettere lo store delle chiavi personalizzate.

Per correggere una KMS chiave non disponibile, ricollega l'archivio chiavi personalizzato. Dopo la riconnessione dell'archivio chiavi personalizzato, lo stato delle KMS chiavi nell'archivio chiavi personalizzato viene automaticamente ripristinato allo stato precedente, ad Enabled esempio o. Disabled KMSle chiavi in attesa di eliminazione rimangono nello PendingDeletion stato. Tuttavia, sebbene il problema persista, l'attivazione e la disabilitazione di una KMS chiave non disponibile non ne modifica lo stato. L'abilitazione o la disabilitazione ha effetto solo quando la chiave diventa disponibile.

Per informazioni sulle connessioni non riuscite, consulta Come correggere un errore di connessione.

Come correggere una chiave difettosa KMS

I problemi relativi alla creazione e all'utilizzo KMS delle AWS CloudHSM chiavi negli archivi delle chiavi possono essere causati da un problema relativo all'archivio delle AWS CloudHSM chiavi, al AWS CloudHSM cluster associato, alla KMS chiave o al materiale delle chiavi.

Quando un archivio AWS CloudHSM chiavi viene disconnesso dal relativo AWS CloudHSM cluster, lo stato delle KMS chiavi nell'archivio chiavi personalizzato èUnavailable. Tutte le richieste di creazione di KMS chiavi in un archivio di AWS CloudHSM chiavi disconnesso restituiscono un'CustomKeyStoreInvalidStateExceptioneccezione. Tutte le richieste di crittografare, decrittografare, ricrittografare o generare chiavi di dati restituiscono un'eccezione KMSInvalidStateException. Per risolvere il problema, ricollega l'archivio delle AWS CloudHSM chiavi.

Tuttavia, i tentativi di utilizzare una KMS chiave in un archivio AWS CloudHSM chiavi per operazioni crittografiche potrebbero fallire anche se lo stato della chiave è Enabled e lo stato di connessione dell'archivio AWS CloudHSM chiavi è uguale. Connected Ciò può essere dovuto a una qualsiasi delle condizioni seguenti.

Come correggere un errore di connessione

Se si tenta di connettere un archivio AWS CloudHSM chiavi al relativo AWS CloudHSM cluster, ma l'operazione non riesce, lo stato di connessione dell'archivio AWS CloudHSM chiavi cambia inFAILED. Per trovare lo stato di connessione di un AWS CloudHSM key store, usa la AWS KMS console o l'DescribeCustomKeyStoresoperazione.

In alternativa, alcuni tentativi di connessione si interrompono rapidamente a causa di errori di configurazione del cluster facilmente rilevati. In questo caso, lo stato della connessione è ancora DISCONNECTED. Questi errori restituiranno un messaggio di errore o un'eccezione che spiega perché il tentativo non è riuscito. Esamina la descrizione dell'eccezione e i requisiti del cluster, risolvi il problema, aggiorna il AWS CloudHSM key store, se necessario, e riprova a connetterti.

Quando lo stato della connessione è FAILED impostato, esegui l'DescribeCustomKeyStoresoperazione e visualizza l'ConnectionErrorCodeelemento nella risposta.

Come rispondere a un errore di un'operazione di crittografia

Un'operazione crittografica che utilizza una KMS chiave in un archivio di chiavi personalizzato potrebbe non riuscire con un. KMSInvalidStateException L'eccezione KMSInvalidStateException può essere accompagnata dai seguenti messaggi di errore.

Come correggere credenziali kmsuser non valide

Quando connetti un archivio di AWS CloudHSM chiavi, AWS KMS accede al AWS CloudHSM cluster associato come utente kmsuser crittografico (CU). Rimane connesso finché il AWS CloudHSM key store non viene disconnesso. La DescribeCustomKeyStoresrisposta mostra un ConnectionState of FAILED e un ConnectionErrorCode valore diINVALID_CREDENTIALS, come illustrato nell'esempio seguente.

Se si disconnette il AWS CloudHSM key store e si modifica la kmsuser password, AWS KMS non è possibile accedere al AWS CloudHSM cluster con le credenziali dell'account kmsuser CU. Di conseguenza, tutti i tentativi di connessione al AWS CloudHSM key store falliscono. La risposta DescribeCustomKeyStores mostra un ConnectionState di FAILED e il valore ConnectionErrorCode di INVALID_CREDENTIALS, come mostrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Inoltre, dopo cinque tentativi di accesso al cluster non riusciti a causa di una password errata, AWS CloudHSM blocca l'account utente. Per accedere al cluster, devi modificare la password dell'account.

Se AWS KMS riceve una risposta di blocco quando tenta di accedere al cluster come kmsuser CU, la richiesta di connessione al AWS CloudHSM key store ha esito negativo. La DescribeCustomKeyStoresrisposta include un ConnectionState of FAILED e un ConnectionErrorCode valore diUSER_LOCKED_OUT, come illustrato nell'esempio seguente.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

Per correggere queste condizioni, utilizza la procedura seguente.

Come eliminare materiale della chiave orfano

Dopo aver pianificato l'eliminazione di una KMS chiave da un archivio di AWS CloudHSM chiavi, potrebbe essere necessario eliminare manualmente il materiale chiave corrispondente dal cluster associato. AWS CloudHSM

Quando si crea una KMS chiave in un AWS CloudHSM key store, AWS KMS crea i metadati KMS chiave AWS KMS e genera il materiale chiave nel cluster associato AWS CloudHSM . Quando si pianifica l'eliminazione di una KMS chiave in un archivio di AWS CloudHSM chiavi, dopo il periodo di attesa, AWS KMS elimina i metadati della KMS chiave. Quindi AWS KMS fa del suo meglio per eliminare il materiale chiave corrispondente dal AWS CloudHSM cluster. Il tentativo potrebbe fallire se AWS KMS non è possibile accedere al cluster, ad esempio quando viene disconnesso dall'archivio delle AWS CloudHSM chiavi o la kmsuser password viene modificata. AWS KMS non tenta di eliminare il materiale chiave dai backup del cluster.

AWS KMS riporta i risultati del tentativo di eliminare il materiale chiave dal cluster nell'immissione degli DeleteKey eventi nei AWS CloudTrail log dell'utente. Appare nell'elemento backingKeysDeletionStatus dell'elemento additionalEventData, come mostrato nella seguente voce di esempio. La voce include anche la KMS chiaveARN, l'ID del AWS CloudHSM cluster e l'ID (backing-key-id) del materiale chiave.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

Le seguenti procedure mostrano come eliminare il materiale chiave orfano dal cluster associato AWS CloudHSM .

Come recuperare il materiale chiave eliminato per una KMS chiave

Se il materiale chiave di una AWS KMS key viene eliminato, la KMS chiave è inutilizzabile e tutto il testo cifrato crittografato con la KMS chiave non può essere decrittografato. Ciò può accadere se il materiale chiave di una KMS chiave in un archivio di AWS CloudHSM chiavi viene eliminato dal cluster associato. AWS CloudHSM Potrebbe tuttavia essere possibile recuperare questo materiale.

Quando si crea una AWS KMS key (KMSchiave) in un archivio AWS CloudHSM chiavi, AWS KMS accede al AWS CloudHSM cluster associato e crea il materiale chiave per la KMS chiave. Inoltre, modifica la password con un valore che solo lui conosce e rimane connesso finché l'archivio delle AWS CloudHSM chiavi è connesso. Poiché solo il proprietario della chiave, ovvero la CU che ha creato una chiave, può eliminare la chiave, è improbabile che la chiave venga eliminata accidentalmente. HSMs

Tuttavia, se il materiale chiave di una KMS chiave viene eliminato da un cluster, lo stato della KMS chiave alla fine cambia HSMs in. UNAVAILABLE Se si tenta di utilizzare la KMS chiave per un'operazione di crittografia, l'operazione ha esito negativo con un'KMSInvalidStateExceptioneccezione. Soprattutto, i dati crittografati con la KMS chiave non possono essere decrittografati.

In alcuni casi, è possibile recuperare il materiale della chiave creando un cluster a partire da un backup contenente tale materiale. Questa strategia funziona solo se almeno un backup è stato creato quando la chiave esisteva e prima di essere eliminata.

Utilizza la procedura seguente per recuperare il materiale della chiave.

Come accedere come kmsuser

Per creare e gestire il materiale chiave nel AWS CloudHSM cluster per il tuo AWS CloudHSM key store, AWS KMS utilizza l'account kmsuserCrypto User (CU). Crei l'account kmsuser CU nel tuo cluster e fornisci la sua password AWS KMS quando crei il tuo archivio di AWS CloudHSM chiavi.

In generale, AWS KMS gestisce l'kmsuseraccount. Tuttavia, per alcune attività, è necessario disconnettere l'archivio delle AWS CloudHSM chiavi, accedere al cluster come kmsuser CU e utilizzare la Cloud HSM Command Line Interface () CLI.

Questo argomento spiega come disconnettere l'archivio AWS CloudHSM chiavi e accedere comekmsuser, eseguire lo strumento da riga di AWS CloudHSM comando, disconnettersi e ricollegare l'archivio chiavi. AWS CloudHSM

Come disconnettersi ed eseguire l'accesso

Utilizza la seguente procedura ogni volta che devi accedere a un cluster associato come utente kmsuser crittografico.

Come scollegarsi e riconnettersi

Usa la seguente procedura ogni volta che devi disconnetterti come utente kmsuser crittografico e ricollegare il tuo key store.