カスタムキーストアのトラブルシューティング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS CloudHSM キーストアは、利用可能で回復力があるように設計されています。ただし、 AWS CloudHSM キーストアを運用し続けるために修復する必要があるエラー条件がいくつかあります。

使用できない KMS キーを修正するには

キーストアの のキーステータスは通常 ですEnabled。 AWS KMS keys AWS CloudHSM すべての KMS キーと同様に、 キーストアで KMS キーを無効にするか、削除をスケジュールすると、 AWS CloudHSM キーの状態が変わります。ただし、他の KMS キーとは異なり、カスタムキーストアの KMS キーには、Unavailable のキーステータスもあります。

Unavailable のキーステータスには、KMS キーが、意図的に切断されたカスタムキーストアの内部に存在し、再接続の試み (実行している場合) に失敗したことを示しています。KMS キーは使用できませんが、KMS キーを表示および管理することはできます。ただし、暗号化オペレーションで使用することはできません。

KMS キーのキーステータスを確認するには、[Customer managed keys] (カスタマーマネージドキー) ページで、KMS キーの [Status] (ステータス) フィールドを表示します。または、 DescribeKey オペレーションを使用して、レスポンスの KeyState 要素を表示します。詳細については、「キーの特定と表示」を参照してください。

切断されたカスタムキーストアの KMS キーは、Unavailable または PendingDeletion のキーステータスとなります。カスタムキーストアが切断されている場合でも、カスタムキーストアからの削除がスケジュールされている KMS キーのキーステータスは Pending Deletion になります。これにより、カスタムキーストアに再接続することなく、スケジュールされたキーの削除をキャンセルできます。

使用できない KMS キーを修正するには、カスタムキーストアを再接続します。カスタムキーストアを再接続すると、カスタムキーストア内の KMS キーのキーステータスは、Enabled や Disabled などの以前のステータスに自動的に復元されます。削除保留中の KMS キーは PendingDeletion ステータスのままです。ただし、問題が解決しない間は、使用できない KMS キーを有効および無効にしても、キーステータスは変更されません。有効または無効のアクションは、キーが使用可能になったときにのみ適用されます。

接続の失敗に関するヘルプについては、「接続障害の修復方法」を参照してください。

失敗した KMS キーを修正するには

AWS CloudHSM キーストアでの KMS キーの作成と使用に関する問題は、 AWS CloudHSM キーストア、関連付けられた AWS CloudHSM クラスター、KMS キー、またはそのキーマテリアルの問題が原因である可能性があります。

AWS CloudHSM キーストアが AWS CloudHSM クラスターから切断されると、カスタムキーストアの KMS キーのキーステータスは になりますUnavailable。切断されたキーストアで KMS AWS CloudHSM キーを作成するすべてのリクエストは、CustomKeyStoreInvalidStateException例外を返します。データキーを暗号化、復号、再暗号化、または生成するすべてのリクエストは、KMSInvalidStateException 例外を返します。この問題を解決するには、AWS CloudHSM キーストアを再接続します。

ただし、暗号化オペレーションのために AWS CloudHSM キーストアで KMS キーを使用しようとするEnabledと、キーの状態が で AWS CloudHSM 、キーストアの接続状態が であっても失敗する可能性がありますConnected。これは、以下のいずれかの条件によって発生する可能性があります。

接続障害の修復方法

AWS CloudHSM キーストアを AWS CloudHSM クラスターに接続しようとしても、オペレーションが失敗すると、 AWS CloudHSM キーストアの接続状態は に変わりますFAILED。 AWS CloudHSM キーストアの接続状態を確認するには、 AWS KMS コンソールまたは DescribeCustomKeyStores オペレーションを使用します。

また、簡単に検出できるクラスター設定エラーが原因で接続の試行がすぐに失敗することがあります。この場合、接続ステータスは DISCONNECTED のままです。これらのエラーは、試行が失敗した理由を説明するエラーメッセージまたは 例外 を返します。例外の説明とクラスターの要件を確認し、問題を修正し、必要に応じてAWS CloudHSM キーストアを更新して、再度接続を試みます。

接続ステータスが FAILED の場合は、DescribeCustomKeyStores オペレーションを実行してレスポンスの ConnectionErrorCode 要素を確認します。

暗号化オペレーションの失敗に対応するには

カスタムキーストアで KMS キーを使用する暗号化オペレーションは、KMSInvalidStateException で失敗することがあります。次のエラーメッセージには KMSInvalidStateException が関連することがあります。

無効な kmsuser 認証情報の修正方法

AWS CloudHSM キーストアを接続すると、 AWS KMS は kmsuserCrypto User (CU) として関連付けられた AWS CloudHSM クラスターにログインします。 AWS CloudHSM キーストアが切断されるまでログインしたままになります。DescribeCustomKeyStores 応答は次の例に示すように、FAILED の ConnectionState、および INVALID_CREDENTIALS の ConnectionErrorCode 値を示しています。

AWS CloudHSM キーストアを切断してkmsuserパスワードを変更すると、 AWS KMS は CU kmsuser アカウントの認証情報を使用して AWS CloudHSM クラスターにログインできません。その結果、 AWS CloudHSM キーストアへの接続試行はすべて失敗します。DescribeCustomKeyStores レスポンスは、次の例に示すように、INVALID_CREDENTIALS の FAILED と ConnectionErrorCode の値の ConnectionState を示します。

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

また、誤ったパスワードでクラスターにログインしようとして 5 回失敗すると、 AWS CloudHSM はユーザーアカウントをロックします。このクラスターにログインするには、アカウントのパスワードを変更する必要があります。

が kmsuserCU としてクラスターにログインしようとしたときにロックアウトレスポンス AWS KMS を受け取ると、 AWS CloudHSM キーストアの接続リクエストは失敗します。DescribeCustomKeyStores 応答には、次の例に示すように、FAILED の ConnectionState、および USER_LOCKED_OUT の ConnectionErrorCode 値が含まれます。

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

これらの条件を修復するには、次の手順を実行します。

孤立したキーマテリアルを削除する方法

AWS CloudHSM キーストアから KMS キーの削除をスケジュールした後、関連付けられた AWS CloudHSM クラスターから対応するキーマテリアルを手動で削除する必要がある場合があります。

AWS CloudHSM キーストアで KMS キーを作成する AWS KMS と、 は に KMS キーメタデータ AWS KMS を作成し、関連付けられた AWS CloudHSM クラスターにキーマテリアルを生成します。 AWS CloudHSM キーストアで KMS キーの削除をスケジュールすると、待機期間の後、 は KMS キーメタデータ AWS KMS を削除します。次に、 AWS KMS は AWS CloudHSM クラスターから対応するキーマテリアルを削除するために最善を尽くします。 AWS CloudHSM キーストアから切断された場合やkmsuserパスワードが変更された場合など、 がクラスターにアクセス AWS KMS できない場合、試行は失敗することがあります。 AWS KMS は、クラスターバックアップからキーマテリアルを削除しようとしません。

AWS KMS は、 AWS CloudTrail ログのDeleteKeyイベントエントリでクラスターからキーマテリアルを削除しようとした結果を報告します。この結果は、次のエントリ例に示されているように、additionalEventData 要素の backingKeysDeletionStatus 要素に表示されます。エントリには、KMS キー ARN、 AWS CloudHSM クラスター ID、およびキーマテリアルの ID (backing-key-id) も含まれます。

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

次の手順は、関連付けられた AWS CloudHSM クラスターから孤立したキーマテリアルを削除する方法を示しています。

KMS キーの削除されたキーマテリアルを復旧するには

のキーマテリアル AWS KMS key が削除された場合、KMS キーは使用できず、KMS キーで暗号化されたすべての暗号文を復号することはできません。これは、 キーストア内の KMS キーの AWS CloudHSM キーマテリアルが、関連付けられた AWS CloudHSM クラスターから削除された場合に発生する可能性があります。ただし、キーマテリアルを復元することは可能な場合もあります。

AWS CloudHSM キーストアで AWS KMS key (KMS キー) を作成すると、 は関連付けられた AWS CloudHSM クラスター AWS KMS にログインし、KMS キーのキーマテリアルを作成します。また、 AWS CloudHSM キーストアが接続されている限り、パスワードをそれだけが認識し、ログインしたままの値に変更します。キー所有者、つまりキーを作成した CU のみがキーを削除できるため、誤って HSM からキーが削除されることはありません。

ただし、KMS キーのキーマテリアルがクラスター内の HSM から削除されると、KMS キーのキーステータスは最終的に UNAVAILABLE に変わります。暗号化オペレーションに KMS キーを使用しようとすると、KMSInvalidStateException の例外によりオペレーションは失敗します。最も重大なのは、KMS キーで暗号化されたデータが復号できないことです。

特定の状況では、キーマテリアルを含む バックアップからクラスターを作成することで、 削除されたキーマテリアルを回復できます。この方法は、キーが存在していて削除される前に少なくとも 1 つのバックアップが作成された場合にのみ機能します。

キーマテリアルを復旧するには、次の手順を実行します。

kmsuser としてログインする方法

キーストアの AWS CloudHSM クラスターで AWS CloudHSM キーマテリアルを作成および管理するために、 AWS KMS は kmsuserCrypto User (CU) アカウントを使用します。クラスターに CU kmsuser アカウントを作成し、 AWS CloudHSM キーストアを作成する AWS KMS ときにそのパスワードを に指定します。

一般に、 はkmsuserアカウント AWS KMS を管理します。ただし、一部のタスクでは、 AWS CloudHSM キーストアを切断し、CU kmsuser としてクラスターにログインし、CloudHSM コマンドラインインターフェイス (CLI) を使用する必要があります。

このトピックでは、AWS CloudHSM キーストアを切断して としてログインしkmsuser、 AWS CloudHSM コマンドラインツールを実行して、AWS CloudHSM キーストアをログアウトして再接続する方法について説明します。

切断してログインする方法

関連するクラスターに kmsuser Crypto User (CU) としてログインする必要がある際には、次の手順を実行します。

ログアウトして再接続する方法

kmsuser Crypto User (CU) ユーザーとしてログアウトしてキーストアを再接続する際には、次の手順を使用します。