AWS CloudHSM のキー
AWS CloudHSM により、AWS CloudHSM クラスターにあるシングルテナント HSM で暗号化キーを安全に生成、保存、管理できます。キーは対称でも非対称でもよく、単一セッションではセッションキー (エフェメラルキー)、長期使用ではトークンキー (永続キー) にでき、AWS CloudHSM からのエクスポートと AWS CloudHSM へのインポートが可能です。キーは一般的な暗号化タスクや機能を実行するためにも使用できます。
対称暗号化アルゴリズムと非対称暗号化アルゴリズムの両方を使用して、暗号データ署名と署名検証を行います。
ハッシュ関数を使用して、メッセージダイジェストと Hash-based Message Authentication Code (HMAC) を計算します。
他のキーをラップして保護します。
暗号化された安全なランダムデータにアクセスします。
クラスターが持つことができる最大キーは、クラスター内の HSM のタイプによって異なります。例えば、hsm2m.medium には hsm1,medium よりも多くのキーが保存されます。これらの比較については、「AWS CloudHSM のクォータ」を参照してください。
さらに、AWS CloudHSM は、キーの使用と管理に関するいくつかの基本原則に従います。
- 多くのキータイプとアルゴリズムから選択可能
独自のソリューションをカスタマイズできるように、AWS CloudHSM では多数のキータイプとアルゴリズムから選択できます。アルゴリズムはさまざまなキーサイズをサポートします。詳細については、それぞれ AWS CloudHSM クライアント SDK を使用したオフロードオペレーション の属性とメカニズムのページを参照してください。
- キーの管理方法
AWS CloudHSM キーは SDK とコマンドラインツールで管理されます。これらのツールを使用してキーを管理する方法については、「AWS CloudHSM のキー」と「AWS CloudHSM のベストプラクティス」を参照してください。
- キーの所有者は誰か
AWS CloudHSM では、キーを作成した Crypto User (CU) がキーを所有しています。所有者は key share と key unshare コマンドを使用してキーを他の CU と共有または共有解除することができます。詳細については、「CloudHSM CLI を使用してキーを共有または共有解除する」を参照してください。
- 属性ベースの暗号化によりアクセスと使用を制御可能
AWS CloudHSM により、属性ベースの暗号化を使用できます。属性ベースの暗号化は、キー属性を使用してポリシーに基づいてデータを復号化できるユーザーを制御できる暗号化の一種です。
