CloudHSM CLI を使用して RSA-OAEP でキーをラップする - AWS CloudHSM

CloudHSM CLI を使用して RSA-OAEP でキーをラップする

CloudHSM CLI の key wrap rsa-oaep コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の RSA パブリックキーと RSA-OAEP ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの extractable 属性を true に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

key wrap rsa-oaep コマンドを使用するには、まず AWS CloudHSM クラスターに RSA キーが必要です。CloudHSM CLI の generate-asymmetric-pair カテゴリ コマンドと true に設定された wrap 属性を使用して、RSA キーペアを生成できます。

ユーザーのタイプ

このコマンドは、次のタイプのユーザーが実行できます。

  • Crypto User (CU)

要件

  • このコマンドを実行するには、CU としてログインする必要があります。

Syntax

aws-cloudhsm > help key wrap rsa-oaep Usage: key wrap rsa-oaep [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> Options: --cluster-id <CLUSTER_ID> Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --payload-filter [<PAYLOAD_FILTER>...] Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key --wrapping-filter [<WRAPPING_FILTER>...] Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key --path <PATH> Path to the binary file where the wrapped key data will be saved --hash-function <HASH_FUNCTION> Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512] --mgf <MGF> Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512] -h, --help Print help

この例では、wrap 属性値を true に設定した RSA 公開キーを使用して key wrap rsa-oaep コマンドを使用する方法を示します。

aws-cloudhsm > key wrap rsa-oaep --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example --hash-function sha256 --mgf mgf1-sha256 { "error_code": 0, "data": { "payload-key-reference": "0x00000000001c08f1", "wrapping-key-reference": "0x00000000007008da", "wrapped-key-data": "OjJe4msobPLz9TuSAdULEu17T5rMDWtSlLyBSkLbaZnYzzpdrhsbGLbwZJCtB/jGkDNdB4qyTAOQwEpggGf6v+Yx6JcesNeKKNU8XZal/YBoHC8noTGUSDI2qr+u2tDc84NPv6d+F2KOONXsSxMhmxzzNG/gzTVIJhOuy/B1yHjGP4mOXoDZf5+7f5M1CjxBmz4Vva/wrWHGCSG0yOaWblEvOiHAIt3UBdyKmU+/My4xjfJv7WGGu3DFUUIZ06TihRtKQhUYU1M9u6NPf9riJJfHsk6QCuSZ9yWThDT9as6i7e3htnyDhIhGWaoK8JU855cN/YNKAUqkNpC4FPL3iw==" } }

引数

<CLUSTER_ID>

このオペレーションを実行するクラスターの ID。

必須: 複数のクラスターが設定されている場合。

<PAYLOAD_FILTER>

ペイロードキーを選択する attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE 形式のキー属性のキーリファレンス (例: key-reference=0xabc) またはスペース区切りリスト。

必須: はい

<PATH>

ラップされたキーデータを保存するバイナリファイルへのパス。

必須:いいえ

<WRAPPING_FILTER>

ラッピングキーを選択する attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE 形式のキー属性のキーリファレンス (例: key-reference=0xabc) またはスペース区切りリスト。

必須: はい

<MGF>

マスク生成関数を指定します。

注記

マスク生成関数のハッシュ関数は、署名メカニズムのハッシュ関数と一致する必要があります。

有効値

  • mgf1-sha1

  • mgf1-sha224

  • mgf1-sha256

  • mgf1-sha384

  • mgf1-sha512

必須: はい

関連トピック