Gerenciamento e uso de chaves com autenticação de quorum habilitada para usar a CLI do AWS CloudHSM CloudHSM

Inicie a CLI do CloudHSM.

$ /opt/cloudhsm/bin/cloudhsm-cli interactive

Faça login no cluster como usuário criptográfico.

aws-cloudhsm > login --username crypto_user1 --role crypto-user --password password123

Este exemplo faz crypto_user1 login na CLI do CloudHSM com a função. crypto-user Substitua esses valores pelos seus.

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

Gere um token de quorum usando o quorum token-sign generate comando.

No comando a seguir, key-usage identifica o nome do serviço em que você usará o token que está gerando. Nesse caso, o token é para operações de uso de chaves (key-usageserviço). Este exemplo usa o --filter sinalizador para associar o token a uma chave específica.

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

Este exemplo obtém um token de quorum para o usuário criptográfico com nome de usuário crypto_user1 e salva o token em um arquivo chamado. crypto_user1.token Para usar o exemplo de comando, substitua esses valores por seus próprios:

O quorum token-sign generate comando gera um token de quorum do serviço de uso de chaves no caminho de arquivo especificado. Você pode inspecionar o arquivo de token:

$cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

O caminho do arquivo consiste no seguinte:

Valide o novo token de quórum do serviço de usuário. O quorum token-sign list comando confirma que o token existe no CloudHSM.

aws-cloudhsm > quorum token-sign list

{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

minimum-token-countApresenta uma visão agregada do cluster do número mínimo utilizável de tokens de chave correspondentes ao nome de usuário, serviço e referência de chave que são recuperados de um único HSM no cluster.

Por exemplo, supondo um cluster de 2 HSM, se recebermos dois (2) tokens de uso de chave gerados pelo usuário crypto_user1 para chave com referência 0x0000000000680006 do primeiro HSM no cluster e recebermos um (1) token de uso de chave gerado pelo usuário crypto_user1 para chave com referência 0x0000000000680006 do outro HSM no cluster, exibiremos. "minimum-token-count": 1

Decodifique o token não assinado codificado em base64 e coloque-o em um arquivo binário:

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

Use o OpenSSL e a chave privada do aprovador para assinar o token não assinado de quorum binário para o serviço de usuário e criar um arquivo de assinatura binária:

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

Codifique a assinatura binária em base64:

$base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

Copie e cole a assinatura codificada em base64 no arquivo de token, usando o formato literal do objeto JSON especificado anteriormente para a assinatura do aprovador:

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}