CloudHSM CLI AWS CloudHSM を使用するためのクォーラム認証を有効にしたキーの管理と使用

CloudHSM CLI を起動します。

$ /opt/cloudhsm/bin/cloudhsm-cli interactive

クラスターに crypto-user としてログインします。

aws-cloudhsm > login --username crypto_user1 --role crypto-user --password password123

この例では、 crypto-userロールを使用して CloudHSM CLI crypto_user1にサインインします。これらの値を独自の値に置き換えます。

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

quorum token-sign generate コマンドを使用してクォーラムトークンを生成します。

次のコマンドで、 は生成するトークンを使用するサービス名key-usageを識別します。この場合、トークンはキー使用オペレーション (key-usage サービス) 用です。この例では、 --filterフラグを使用してトークンを特定のキーに関連付けます。

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

この例では、ユーザー名 を持つ crypto-user のクォーラムトークンを取得しcrypto_user1、そのトークンを という名前のファイルに保存しますcrypto_user1.token。この例のコマンドを使用するには、以下の値を独自のものに置き換えてください。

quorum token-sign generate コマンドは、指定されたファイルパスでキー使用サービスのクォーラムトークンを生成します。トークンファイルを調べることができます。

$cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

トークンファイルは、次のもので構成されます。

新しいユーザーサービスクォーラムトークンを検証します。quorum token-sign list コマンドは、トークンが CloudHSM に存在することを確認します。

aws-cloudhsm > quorum token-sign list

{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

は、クラスター内の 1 つの HSM から取得されたユーザー名、サービス、およびキーリファレンスに対応するキートークンの最小使用可能数の集約クラスタービューminimum-token-countを表示します。

例えば、2-HSM クラスターの場合、クラスター内の最初の HSM 0x0000000000680006から参照して キーcrypto_user1に対してユーザーによって生成された 2 つの (2) キー使用トークンを受け取り、クラスター内の他の HSM 0x0000000000680006 から参照して キーcrypto_user1に対してユーザーによって生成された 1 つの (1) キー使用トークンを受け取ると、 が表示されます"minimum-token-count": 1。

base64 でエンコードされた署名なしトークンをデコードし、バイナリファイルに入れます。

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

OpenSSL と承認者のプライベートキーを使用して、ユーザーサービスのバイナリクォーラム署名なしトークンに署名し、バイナリ署名ファイルを作成します。

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

バイナリ署名を base64 にエンコードします。

$base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

承認者の署名に前に指定した JSON オブジェクトリテラル形式を使用して、base64 でエンコードされた署名をコピーしてトークンファイルに貼り付けます。

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}