与 KMU 和 CMU 共享和取消共享密钥

在中 AWS CloudHSM，创建密钥的 CU 拥有该密钥。所有者管理密钥，可导出和删除密钥，并且可在加密操作中使用密钥。所有者还可以与其他 CU 用户共享密钥。密钥的共享用户可在加密操作中使用密钥，但无法导出或删除密钥，也无法与其他用户共享密钥。

您可以在创建密钥时与其他 CU 用户共享密钥，例如使用genSymKey或 gen Pai RSAKey r 命令的-u参数。要与其他 HSM 用户共享现有密钥，请使用 cloudhsm_mgmt_util 命令行工具。这与此部分中所述的使用 key_mgmt_util 命令行工具的大多数任务不同。

在共享密钥之前，必须启动 cloudhsm_mgmt_util，启用加密，然后登录。 end-to-end HSMs要共享密钥，请以拥有该密钥的加密用户 (CU) 的身份登录到 HSM。只有密钥所有者能够共享密钥。

使用shareKey命令共享或取消共享密钥，指定密钥的句柄和一个或 IDs 多个用户的账号。要与多个用户共享或取消共享，请指定以逗号分隔的用户列表。 IDs要共享密钥，请使用 1 作为命令的最后一个参数，如以下示例所示。要取消共享，请使用 0。

aws-cloudhsm > shareKey 524295 4 1
*************************CAUTION********************************
This is a CRITICAL operation, should be done on all nodes in the
cluster. AWS does NOT synchronize these changes automatically with the
nodes on which this operation is not executed or failed, please
ensure this operation is executed on all nodes in the cluster.
****************************************************************

Do you want to continue(y/n)? y
shareKey success on server 0(10.0.2.9)
shareKey success on server 1(10.0.3.11)
shareKey success on server 2(10.0.1.12)

下面说明 shareKey 命令的语法。

aws-cloudhsm > shareKey <key handle> <user ID> <Boolean: 1 for share, 0 for unshare>