AWS CloudHSM での AES キーラップ

このトピックでは、AWS CloudHSM での AES キーラップのオプションについて説明します。AES キーラップは、AES キー (ラップキー) を使用して、任意のタイプの別のキー (ターゲットキー) をラップします。キーラップを使用して、保存されているキーを保護したり、安全でないネットワーク上でキーを送信したりします。

サポートされているアルゴリズム

AWS CloudHSM は、AES キーラップに 3 つのオプションを提供します。各オプションは、ターゲットキーがラップされる前にどのようにパディングされるかに基づいています。パディングは、キーラップを呼び出すときに、使用するアルゴリズムに従って自動的に行われます。次の表は、サポートされているアルゴリズムと関連する詳細の一覧で、アプリケーションに適したラップメカニズムを選択するのに役立ちます。

上記の表の AES キーラップアルゴリズムをアプリケーションで使用する方法については、「AWS CloudHSM での AES キー ラップの使用」を参照してください。

AES キーラップの初期化ベクトルについて

ラップの前に、CloudHSM はデータの整合性を保つためにターゲットキーに初期化ベクトル (IV) を追加します。各キーラップアルゴリズムには、許可される IV のタイプに特定の制限があります。AWS CloudHSM には、IV を設定する 2 つのオプションがあります。

次の表に、ラップアルゴリズムで指定する IV の許容値を示します。

AWS CloudHSM での AES キーラップの使用

次のようにキーをラップおよびラップ解除します。