翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS CloudHSM クラスターの管理
AWS CloudHSM クラスターは、 AWS CloudHSM コンソール
クラスターを作成するには、「使用開始」を参照してください。
クラスターアーキテクチャ
クラスターを作成するときは、 AWS アカウントに Amazon Virtual Private Cloud (VPC) を指定し、その VPC に 1 つ以上のサブネットを指定します。選択した AWS リージョンの各アベイラビリティーゾーン (AZ) に 1 つのサブネットを作成することをお勧めします。VPC を作成するときにプライベートサブネットを作成できます。詳細については、「仮想プライベートクラウド (VPC) の作成」を参照してください。
HSM を作成する度に、HSM のクラスターとアベイラビリティーゾーンを指定します。HSM を別々のアベイラビリティーゾーンに指定すると、いずれかのアベイラビリティーゾーンが使用できなくなった場合でも冗長性と高可用性を維持します。
HSM を作成すると、 は AWS アカウント内の指定されたサブネットに Elastic Network Interface (ENI) AWS CloudHSM を配置します。Elastic Network Interface は、HSM とやり取りするためのインターフェイスです。HSM は、 が所有する AWS アカウントの別の VPC にあります AWS CloudHSM。HSM と対応するネットワークインターフェイスは、同じアベイラビリティーゾーンに存在します。
クラスター内の HSMsを操作するには、 AWS CloudHSM クライアントソフトウェアが必要です。通常、次の図に示すように、HSM ENI と同じ VPC にある Amazon EC2 インスタンス (クライアントインスタンス) でクライアントをインストールします。ただし、これは技術的には必要ありません。HSM ENI に接続できる限り、互換性のある任意のコンピュータでクライアントをインストールできます。クライアントは ENI を通じてクラスター内の個々の HSM と通信します。
次の図は、それぞれ VPC 内の異なるアベイラビリティーゾーンにある 3 HSMs を持つ AWS CloudHSM クラスターを示しています。
クラスターの同期
AWS CloudHSM クラスターでは、 AWS CloudHSM は個々の HSMsのキーを同期させます。HSM 上でキーを同期するために必要な操作はありません。各 HSM のユーザーとポリシーを同期させるには、HSM ユーザー を管理する前に AWS CloudHSM クライアント設定ファイルを更新します。詳細については、「HSM ユーザーを同期する」を参照してください。
クラスターに新しい HSM を追加すると、 AWS CloudHSM は既存の HSM のすべてのキー、ユーザー、ポリシーのバックアップを作成します。次に、そのバックアップが新しい HSM に復元されます。これにより、2 つの HSM の同期が保たれます。
クラスター内の HSMs が同期に失敗した場合、 はそれら AWS CloudHSM を自動的に再同期します。これを有効にするには、アプライアンスユーザー の認証情報 AWS CloudHSM を使用します。このユーザーは、 が提供するすべての HSMsに存在し AWS CloudHSM 、アクセス許可が制限されています。HSM でオブジェクトのハッシュの取得と、マスク (暗号化) されたオブジェクトの抽出および挿入を行うことができます。 AWS は、ユーザーあるいはキーの表示や変更、およびこのキーを使用した一切の暗号化オペレーションを実行することはできません。
クラスターの高可用性とロードバランシング
複数の HSM を持つ AWS CloudHSM クラスターを作成すると、自動的に負荷分散が行われます。ロードバランシングは、追加の処理に対する HSM の容量に基づき、AWS CloudHSM クライアントによって、クラスター内のすべての HSM に暗号化オペレーションが分散されることを意味します。
異なる AWS アベイラビリティーゾーンに HSMs を作成すると、高可用性が自動的に取得されます。高可用性は、個々の HSM に単一障害点がないことにより、高い信頼性を取得できることを意味します。各クラスターには最低 2 つの HSMsがあり、各 HSM は AWS リージョン内の異なるアベイラビリティーゾーンにあることをお勧めします。
たとえば、次の図では、Oracle データベースアプリケーションが 2 つの異なるアベイラビリティーゾーンに分散されています。データベースインスタンスは、各アベイラビリティーゾーンの HSM を含むクラスターにマスターキーを保存します。 は、キーを両方の HSMs AWS CloudHSM に自動的に同期して、すぐにアクセスでき冗長になるようにします。
