使用 Cloud 为 AWS CloudHSM 管理员设置法定身份验证 HSM CLI

以下示例演示如何使用 Open SSL 创建受密码保护的 2048 位RSA密钥。要使用此示例，请替换 <admin.key> 使用您要存储密钥的文件的名称。

$ openssl genrsa -out <admin.key> -aes256 2048
Generating RSA private key, 2048 bit long modulus
.....................................+++
.+++
e is 65537 (0x10001)
Enter pass phrase for admin.key:
Verifying - Enter pass phrase for admin.key:

以下示例演示如何使用 Open SSL 根据您刚刚创建的私钥创建公钥。

$ openssl rsa -in admin.key -outform PEM -pubout -out admin1.pub
Enter pass phrase for admin.key:
writing RSA key

以下示例说明如何在 Cloud 中使用user change-quorum token-sign register命令HSMCLI向注册管理员的公钥。HSM要使用此命令，管理员必须登录到HSM。将这些值替换为您自己的值：

aws-cloudhsm > user change-quorum token-sign register --public-key </path/admin.pub> --signed-token </path/tokenfile>
{
  "error_code": 0,
  "data": {
    "username": "admin",
    "role": "admin"
  }
}

在所有管理员注册其公钥后，user list 命令的输出将显示在仲裁字段中，表明启用仲裁策略，如下所示：

aws-cloudhsm > user list
{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin2",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin3",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin4",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "app_user",
        "role": "internal(APPLIANCE_USER)",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      }
    ]
  }
}

此示例使用仲裁最小值二 (2)。您可以选择两 (2) 到八 (8) 之间的任意值，最多不超过管理员的HSM总数。在此示例中，HSM有四 (4) 个管理员，因此可能的最大值为四 (4)。

要使用以下示例命令，请替换最后一个数字 (<2>)，其首选法定人数最小值为准。

aws-cloudhsm > quorum token-sign set-quorum-value --service user --value <2>
{
  "error_code": 0,
  "data": "Set quorum value successful"
}

在此示例中，该服务标识了您正在设置其最小法定值的HSM服务。该使用 Cloud 显示法定值 HSM CLI命令列出了HSM服务中包含的服务类型、名称和描述。

管理员服务：法定身份验证用于管理员特权服务，例如创建用户、删除用户、更改用户密码、设置法定值以及停用法定人数和权能。MFA

每个服务类型都进一步细分为限定服务名称，其中包含一组特定的、可执行的仲裁支持服务操作。

[1] 集群服务仅在 hsm2m.medium 上提供

使用 quorum token-sign list-quorum-values 命令获取服务的仲裁最小值。

aws-cloudhsm > quorum token-sign list-quorum-values
{
  "error_code": 0,
  "data": {
    "user": 2,
    "quorum": 1
  }
}