解释 AWS CloudHSM 审核日志 - AWS CloudHSM
审核日志事件的示例

解释 AWS CloudHSM 审核日志

HSM 审核日志中的事件具有标准字段。一些事件类型具有附加字段，这些字段将捕获有关事件的有用信息。例如，用户登录和用户管理事件包括用户的名称和类型。密钥管理命令包括密钥句柄。

有几个字段提供了特别重要的信息。Opcode 标识正在记录的管理命令。Sequence No 标识日志流中的事件并指示事件的记录顺序。

例如，以下示例事件是 HSM 的日志流中的第二个事件 (Sequence No: 0x1)。它显示了生成密码加密密钥的 HSM，该密钥是启动例程的一部分。

Time: 12/19/17 21:01:17.140812, usecs:1513717277140812
Sequence No : 0x1
Reboot counter : 0xe8
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_GEN_PSWD_ENC_KEY (0x1d)
Session Handle : 0x1004001
Response : 0:HSM Return: SUCCESS
Log type : MINIMAL_LOG_ENTRY (0)

审核日志中的每个 AWS CloudHSM 事件都具有以下字段。

时间

事件的发生时间（用 UTC 时区表示）。时间显示为人类可读的时间和 Unix 时间（以微秒为单位）。

重启计数器

在重新启动 HSM 硬件时递增的 32 位持续序数计数器。

日志流中的所有事件都具有相同的重启计数器值。但是，重启计数器对于日志流可能不是唯一的，因为它在同一集群中的不同 HSM 实例之间可能是不同的。

序列号

为每个日志事件递增的 64 位序数计数器。每个日志流中的第一个事件都有一个序列号 0x0。Sequence No 值中不应该有空白。序列号仅在日志流中是唯一的。

命令类型

一个十六进制值，它表示命令的类别。AWS CloudHSM 日志流中的命令的命令类型为 CN_MGMT_CMD (0x0) 或 CN_CERT_AUTH_CMD (0x9)。

Opcode

标识已执行的管理命令。有关 AWS CloudHSM 审核日志中的 Opcode 值的列表，请参阅 AWS CloudHSM 审核日志参考。

会话句柄

标识已在其中运行命令并记录事件的会话。

响应

记录对管理命令的响应。您可以在 Response 字段中搜索 SUCCESS 和 ERROR 值。

日志类型

指示已记录命令的 AWS CloudHSM 日志的日志类型。

  • MINIMAL_LOG_ENTRY (0)

  • MGMT_KEY_DETAILS_LOG (1)

  • MGMT_USER_DETAILS_LOG (2)

  • GENERIC_LOG

审核日志事件的示例

日志流中的事件将记录 HSM 的历史记录（从其创建到删除）。您可以使用日志来审查 HSM 的生命周期并深入了解其操作。在解释事件时，请注意 Opcode（它表示管理命令或操作）和 Sequence No（它表示事件的顺序）。

示例：初始化集群中的第一个 HSM

每个集群中的第一个 HSM 的审核日志流与集群中的其他 HSM 的日志流有显著区别。每个集群中的第一个 HSM 的审核日志记录了其创建和初始化。集群中通过备份生成的附加 HSM 的日志的开头为登录事件。

重要

在 CloudHSM 审核日志记录功能发布（2018 年 8 月 30 日）前初始化的集群的 CloudWatch 日志中将不是显示以下初始化条目。有关更多信息，请参阅文档历史记录。

以下示例事件显示在集群中的第一个 HSM 的日志流中。日志中的第一个事件 —— 带 Sequence No 0x0 的事件 —— 表示用于初始化 HSM (CN_INIT_TOKEN) 的命令。此响应表示该命令已成功 (Response : 0: HSM Return: SUCCESS)。

Time: 12/19/17 21:01:16.962174, usecs:1513717276962174
Sequence No : 0x0
Reboot counter : 0xe8
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_INIT_TOKEN (0x1)
Session Handle : 0x1004001
Response : 0:HSM Return: SUCCESS
Log type : MINIMAL_LOG_ENTRY (0)

此示例日志流 (Sequence No 0x1) 中的第二个事件记录了用于创建 HSM 使用的密码加密密钥的命令 (CN_GEN_PSWD_ENC_KEY)。

这是每个集群中的第一个 HSM 的典型启动顺序。由于同一集群中的后续 HSM 是第一个 HSM 的克隆，因此，它们将使用相同的密码加密密钥。

Time: 12/19/17 21:01:17.140812, usecs:1513717277140812
Sequence No : 0x1
Reboot counter : 0xe8
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_GEN_PSWD_ENC_KEY (0x1d)
Session Handle : 0x1004001
Response : 0:HSM Return: SUCCESS
Log type : MINIMAL_LOG_ENTRY (0)

此示例日志流 (Sequence No 0x2) 中的第三个事件是创建设备用户 (AU)（即 AWS CloudHSM 服务）。涉及 HSM 用户的事件包括用户名和用户类型的额外字段。

Time: 12/19/17 21:01:17.174902, usecs:1513717277174902
Sequence No : 0x2
Reboot counter : 0xe8
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_CREATE_APPLIANCE_USER (0xfc)
Session Handle : 0x1004001
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : app_user
User Type : CN_APPLIANCE_USER (5)

此示例日志流 (Sequence No 0x3) 中的第四个事件记录了 CN_INIT_DONE 事件，该事件完成了 HSM 的初始化。

Time: 12/19/17 21:01:17.298914, usecs:1513717277298914
Sequence No : 0x3
Reboot counter : 0xe8
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_INIT_DONE (0x95)
Session Handle : 0x1004001
Response : 0:HSM Return: SUCCESS
Log type : MINIMAL_LOG_ENTRY (0)

您可以跟踪启动序列中的其余事件。这些事件可能包括几个登录和注销事件，以及密钥加密密钥 (KEK) 的生成。以下事件记录了用于更改准加密员 (PRECO) 的密码的命令。此命令将激活集群。

Time: 12/13/17 23:04:33.846554, usecs:1513206273846554
Sequence No: 0x1d
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_CHANGE_PSWD (0x9)
Session Handle: 0x2010003
Response: 0:HSM Return: SUCCESS
Log type: MGMT_USER_DETAILS_LOG (2)
User Name: admin
User Type: CN_CRYPTO_PRE_OFFICER (6)

登录和注销事件

在解释审核日志时，请注意记录用户登录和注销 HSM 的事件。这些事件可帮助您确定哪个用户负责在登录命令和注销命令之间按顺序出现的管理命令。

例如，此日志条目记录名为 admin 的加密员的登录。序列号 0x0 表示这是此日志流中的第一个事件。

当用户登录一个 HSM 时，集群中的其他 HSM 也会记录该用户的登录事件。在初始登录事件后不久，您可以在集群中的其他 HSM 的日志流中找到相应的登录事件。

Time: 01/16/18 01:48:49.824999, usecs:1516067329824999
Sequence No : 0x0
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0x7014006
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : admin
User Type : CN_CRYPTO_OFFICER (2)

以下示例事件记录 admin 加密员注销。序列号 0x2 表示这是日志流中的第三个事件。

如果已登录的用户关闭会话而不注销，则日志流会包含一个 CN_APP_FINALIZE 或关闭会话事件 (CN_SESSION_CLOSE)，而不是 CN_LOGOUT 事件。与登录事件不同，此注销事件通常只由执行命令的 HSM 记录。

Time: 01/16/18 01:49:55.993404, usecs:1516067395993404
Sequence No : 0x2
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGOUT (0xe)
Session Handle : 0x7014000
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : admin
User Type : CN_CRYPTO_OFFICER (2)

如果登录尝试因用户名称无效而导致失败，HSM 会记录一个 CN_LOGIN 事件（具有登录命令中提供的用户名和类型）。响应显示错误消息 157，这说明用户名不存在。

Time: 01/24/18 17:41:39.037255, usecs:1516815699037255
Sequence No : 0x4
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0xc008002
Response : 157:HSM Error: user isn't initialized or user with this name doesn't exist
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : ExampleUser
User Type : CN_CRYPTO_USER (1)

如果登录尝试因密码无效而导致失败，HSM 会记录一个 CN_LOGIN 事件（具有登录命令中提供的用户名和类型）。响应显示了错误消息，并返回 RET_USER_LOGIN_FAILURE 错误代码。

Time: 01/24/18 17:44:25.013218, usecs:1516815865013218
Sequence No : 0x5
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0xc008002
Response : 163:HSM Error: RET_USER_LOGIN_FAILURE
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : testuser
User Type : CN_CRYPTO_USER (1)

示例：创建和删除用户

此示例显示了在加密员 (CO) 创建和删除用户时记录的日志事件。

第一个事件记录登录到 HSM 的 CO admin。序列号 0x0 表示这是日志流中的第一个事件。已登录的用户的名称和类型包含在事件中。

Time: 01/16/18 01:48:49.824999, usecs:1516067329824999
Sequence No : 0x0
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0x7014006
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : admin
User Type : CN_CRYPTO_OFFICER (2)

日志流中的下一个事件（序列 0x1）记录创建新的加密用户 (CU) 的 CO。新用户的名称和类型包含在事件中。

Time: 01/16/18 01:49:39.437708, usecs:1516067379437708
Sequence No : 0x1
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_CREATE_USER (0x3)
Session Handle : 0x7014006
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : bob
User Type : CN_CRYPTO_USER (1)

然后，CO 会创建另一个加密员 alice。序列号表明此操作紧跟上一个操作，而没有干预操作。

Time: 01/16/18 01:49:55.993404, usecs:1516067395993404
Sequence No : 0x2
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_CREATE_CO (0x4)
Session Handle : 0x7014007
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : alice
User Type : CN_CRYPTO_OFFICER (2)

稍后，名为 admin 的 CO 将登录并删除名为 alice 的加密员。HSM 会记录一个 CN_DELETE_USER 事件。已删除用户的名称和类型包含在事件中。

Time: 01/23/18 19:58:23.451420, usecs:1516737503451420
Sequence No : 0xb
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_DELETE_USER (0xa1)
Session Handle : 0x7014007
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : alice
User Type : CN_CRYPTO_OFFICER (2)

示例：创建和删除密钥对

此示例显示了在您创建和删除密钥对时，HSM 审核日志中记录的事件。

以下事件记录名为 crypto_user 的加密用户 (CU) 登录到 HSM。

Time: 12/13/17 23:09:04.648952, usecs:1513206544648952
Sequence No: 0x28
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_LOGIN (0xd)
Session Handle: 0x2014005
Response: 0:HSM Return: SUCCESS
Log type: MGMT_USER_DETAILS_LOG (2)
User Name: crypto_user
User Type: CN_CRYPTO_USER (1)

接下来，CU 会生成一个密钥对 (CN_GENERATE_KEY_PAIR)。私有密钥具有密钥句柄 131079。公有密钥具有密钥句柄 131078。

Time: 12/13/17 23:09:04.761594, usecs:1513206544761594
Sequence No: 0x29
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_GENERATE_KEY_PAIR (0x19)
Session Handle: 0x2014004
Response: 0:HSM Return: SUCCESS
Log type: MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle: 131079
Public Key Handle: 131078

该 CU 会立即删除密钥对。CN_DESTROY_OBJECT 事件记录公有密钥的删除 (131078)。

Time: 12/13/17 23:09:04.813977, usecs:1513206544813977
Sequence No: 0x2a
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_DESTROY_OBJECT (0x11)
Session Handle: 0x2014004
Response: 0:HSM Return: SUCCESS
Log type: MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle: 131078
Public Key Handle: 0

然后，另一个 CN_DESTROY_OBJECT 事件记录私有密钥的删除 (131079)。

Time: 12/13/17 23:09:04.815530, usecs:1513206544815530
Sequence No: 0x2b
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_DESTROY_OBJECT (0x11)
Session Handle: 0x2014004
Response: 0:HSM Return: SUCCESS
Log type: MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle: 131079
Public Key Handle: 0

最后，CU 将注销。

Time: 12/13/17 23:09:04.817222, usecs:1513206544817222
Sequence No: 0x2c
Reboot counter: 0xe8
Command Type(hex): CN_MGMT_CMD (0x0)
Opcode: CN_LOGOUT (0xe)
Session Handle: 0x2014004
Response: 0:HSM Return: SUCCESS
Log type: MGMT_USER_DETAILS_LOG (2)
User Name: crypto_user
User Type: CN_CRYPTO_USER (1)

示例：生成和同步密钥

此示例显示了在具有多个 HSM 的集群中创建密钥的效果。密钥在一个 HSM 上生成，从 HSM 中提取作为遮蔽对象，并作为遮蔽对象插入到其他 HSM 中。

注意

客户端工具可能无法同步密钥。或者，命令可能包含 min_srv 参数，该参数仅将密钥同步到指定数量的 HSM。在任一情况下，AWS CloudHSM 服务都会将密钥同步到集群中的其他 HSM。由于 HSM 仅在其日志中记录客户端管理命令，因此，不会将服务器端同步记录在 HSM 日志中。

首先，考虑接收并执行命令的 HSM 的日志流。日志流以 HSM ID hsm-abcde123456 命名，但 HSM ID 不会出现在日志事件中。

首先，testuser 加密用户 (CU) 登录到 hsm-abcde123456 HSM。

Time: 01/24/18 00:39:23.172777, usecs:1516754363172777
Sequence No : 0x0
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0xc008002
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : testuser
User Type : CN_CRYPTO_USER (1)

该 CU 运行一个 exSymKey 命令以生成对称密钥。hsm-abcde123456 HSM 生成一个具有密钥句柄 262152 的对称密钥。HSM 在其日志中记录一个 CN_GENERATE_KEY 事件。

Time: 01/24/18 00:39:30.328334, usecs:1516754370328334
Sequence No : 0x1
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_GENERATE_KEY (0x17)
Session Handle : 0xc008004
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 262152
Public Key Handle : 0

hsm-abcde123456 的日志流中的下一个事件记录密钥同步过程中的第一步。新密钥（密钥句柄 262152）是从 HSM 中作为遮蔽对象提取的。

Time: 01/24/18 00:39:30.330956, usecs:1516754370330956
Sequence No : 0x2
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_EXTRACT_MASKED_OBJECT_USER (0xf0)
Session Handle : 0xc008004
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 262152
Public Key Handle : 0

现在考虑 HSM hsm-zyxwv987654（同一集群中的另一个 HSM）的日志流。此日志流还包括 testuser CU 的登录事件。时间值显示在用户登录到 hsm-abcde123456 HSM 后不久发生。

Time: 01/24/18 00:39:23.199740, usecs:1516754363199740
Sequence No : 0xd
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0x7004004
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : testuser
User Type : CN_CRYPTO_USER (1)

此 HSM 的日志流没有 CN_GENERATE_KEY 事件。但它有一个记录将密钥同步到此 HSM 的事件。CN_INSERT_MASKED_OBJECT_USER 事件记录将密钥 262152 接收为遮蔽对象。现在，密钥 262152 存在于集群中的两个 HSM 上。

Time: 01/24/18 00:39:30.408950, usecs:1516754370408950
Sequence No : 0xe
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_INSERT_MASKED_OBJECT_USER (0xf1)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 262152
Public Key Handle : 0

当 CU 用户注销时，此 CN_LOGOUT 事件仅在接收了命令的 HSM 的日志流中出现。

示例：导出密钥

此示例显示了在加密用户（CU）从具有多个 HSM 的集群中导出密钥时，记录的审核日志事件。

以下事件记录了登录 key_mgmt_util 的 CU (testuser)。

Time: 01/24/18 19:42:22.695884, usecs:1516822942695884
Sequence No : 0x26
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_LOGIN (0xd)
Session Handle : 0x7004004
Response : 0:HSM Return: SUCCESS
Log type : MGMT_USER_DETAILS_LOG (2)
User Name : testuser
User Type : CN_CRYPTO_USER (1)

CU 运行 exSymKey 命令来导出密钥 7（一个 256 位 AES 密钥）。此命令使用密钥 6（HSM 上的 256 位 AES 密钥）作为包装密钥。

接收命令的 HSM 记录密钥 7（正在导出的密钥）的 CN_WRAP_KEY 事件。

Time: 01/24/18 19:51:12.860123, usecs:1516823472860123
Sequence No : 0x27
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_WRAP_KEY (0x1a)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 7
Public Key Handle : 0

然后，HSM 记录包装密钥（密钥 6）的 CN_NIST_AES_WRAP 事件。先包装密钥，然后立即被解开包装，而 HSM 仅记录一个事件。

Time: 01/24/18 19:51:12.905257, usecs:1516823472905257
Sequence No : 0x28
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_NIST_AES_WRAP (0x1e)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 6
Public Key Handle : 0

该 exSymKey 命令将导出的密钥写入一个文件中，但不更改 HSM 上的密钥。因此，集群中其他 HSM 的日志中没有相应的事件。

示例：导入密钥

此示例显示了在您将密钥导入集群的 HSM 中时，记录的审核日志事件。在此示例中，加密用户 (CU) 使用 imSymKey 命令将 AES 密钥导入到 HSM 中。该命令使用密钥 6 作为包装密钥。

接收命令的 HSM 首先记录密钥 6（包装密钥）的 CN_NIST_AES_WRAP 事件。

Time: 01/24/18 19:58:23.170518, usecs:1516823903170518
Sequence No : 0x29
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_NIST_AES_WRAP (0x1e)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 6
Public Key Handle : 0

然后，HSM 记录一个 CN_UNWRAP_KEY 事件，该事件表示导入操作。将为导入的密钥分配密钥句柄 11。

Time: 01/24/18 19:58:23.200711, usecs:1516823903200711
Sequence No : 0x2a
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_UNWRAP_KEY (0x1b)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 11
Public Key Handle : 0

在生成或导入新密钥时，客户端工具会自动尝试将新密钥同步到集群中的其他 HSM。在此情况下，HSM 会在从 HSM 中将密钥 11 作为遮蔽对象提取时，记录一个 CN_EXTRACT_MASKED_OBJECT_USER 事件。

Time: 01/24/18 19:58:23.203350, usecs:1516823903203350
Sequence No : 0x2b
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_EXTRACT_MASKED_OBJECT_USER (0xf0)
Session Handle : 0x7004003
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 11
Public Key Handle : 0

集群中的其他 HSM 的日志流反映了新导入的密钥已到达。

例如，已将此事件记录在同一个集群中的其他 HSM 的日志流中。此 CN_INSERT_MASKED_OBJECT_USER 事件记录表示密钥 11 的遮蔽对象已到达。

Time: 01/24/18 19:58:23.286793, usecs:1516823903286793
Sequence No : 0xb
Reboot counter : 0x107
Command Type(hex) : CN_MGMT_CMD (0x0)
Opcode : CN_INSERT_MASKED_OBJECT_USER (0xf1)
Session Handle : 0xc008004
Response : 0:HSM Return: SUCCESS
Log type : MGMT_KEY_DETAILS_LOG (1)
Priv/Secret Key Handle : 11
Public Key Handle : 0

示例：共享和取消共享密钥

此示例显示当加密用户 (CU) 与其他加密用户共享或取消共享 ECC 私有密钥时记录的审计日志事件。CU 使用 shareKey 命令并提供密钥句柄、用户 ID 和值 1 来共享密钥（或值 0 来取消共享密钥）。

在以下示例中，接收命令的 HSM 将记录一个表示共享操作的 CM_SHARE_OBJECT 事件。

Time: 02/08/19 19:35:39.480168, usecs:1549654539480168
Sequence No	: 0x3f
Reboot counter	: 0x38
Command Type(hex)	: CN_MGMT_CMD (0x0)
Opcode	: CN_SHARE_OBJECT (0x12)
Session Handle	: 0x3014007
Response	: 0:HSM Return: SUCCESS
Log type	: UNKNOWN_LOG_TYPE (5)