翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS CloudHSM ユーザー管理のベストプラクティス
AWS CloudHSM クラスター内のユーザーを効果的に管理するには、このセクションのベストプラクティスに従います。 HSM ユーザーは IAM ユーザーとは異なります。適切なアクセス許可を持つアイデンティティベースのポリシーを持つ IAM ユーザーとエンティティは、 AWS を介してリソースとやり取りHSMsすることで を作成できますAPI。HSM を作成したら、HSMユーザー認証情報を使用して でのオペレーションを認証する必要がありますHSM。HSM ユーザーの詳細なガイドについては、「」を参照してくださいAWS CloudHSM の HSM ユーザー。
HSM ユーザーの認証情報を保護する
HSM ユーザーの認証情報は、HSMユーザーが にアクセスして暗号化および管理オペレーションを実行できるエンティティであるため、安全に保護することが不可欠ですHSM。 AWS CloudHSM はHSMユーザー認証情報にアクセスできず、アクセスできなくなった場合には支援できません。
ロックアウトを防ぐため、少なくとも 2 人の管理者を配置します
クラスターからロックアウトされないように、1 つの管理者パスワードを紛失した場合に備えて、少なくとも 2 人の管理者を配置することをお勧めします。このような場合は、もう一方の管理者にパスワードをリセットしてもらうことができます。
注記
クライアント 5 SDK の管理者は、クライアント 3 の Crypto Officer (COs) SDK と同義です。
すべてのユーザー管理オペレーションでクォーラムを有効にします
クォーラムでは、ユーザー管理オペレーションを承認しないと実行できない管理者の最小数を設定できます。管理者には権限があるため、すべてのユーザー管理オペレーションでクォーラムを有効にすることをお勧めします。これにより、管理者パスワードのいずれかが侵害された場合の影響を抑えることができます。詳細については、Managing Quorum を参照してください。
各自の権限を制限した複数の Crypto User を作成する
Crypto User の責任を分離することで、1 人のユーザーがシステム全体を完全に制御できなくなります。このため、複数の Crypto User を作成し、それぞれの権限を制限するようお勧めします。通常、これは異なる Crypto User にそれぞれ異なる責任と実行するアクションを明確に与えることによって行われます（たとえば、1 人の暗号ユーザーがキーを生成して他の暗号ユーザーと共有し、その暗号ユーザーをアプリケーションで利用させるなど）。
関連リソース:
