本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
使用用戶端 SDK 5 設定工具來更新用戶端組態檔案。
用戶端 SDK 5 中的每個元件都包含一個配置工具,其中包含組態工具檔案名稱中的元件指示器。例如,用戶端 SDK 5 的 PKCS #11 程式庫包含一個名為 Linux 或 Windows configure-pkcs11
configure-pkcs11.exe
上的設定工具。
- PKCS #11
-
configure-pkcs11[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--client-cert-hsm-tls-file <client certificate hsm tls path>
]
[--client-key-hsm-tls-file <client key hsm tls path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default is </opt/cloudhsm/run/cloudhsm-pkcs11.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-pkcs11.log>
[--log-type <file | term>
]
Default is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
[--enable-validate-key-at-init]
This is the default for PKCS #11
- OpenSSL
-
configure-dyn[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--client-cert-hsm-tls-file <client certificate hsm tls path>
]
[--client-key-hsm-tls-file <client key hsm tls path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <error>
[--log-type <file | term>
]
Default is <term>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for OpenSSL
[--enable-validate-key-at-init]
- JCE
-
configure-jce[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--client-cert-hsm-tls-file <client certificate hsm tls path>
]
[--client-key-hsm-tls-file <client key hsm tls path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default is </opt/cloudhsm/run/cloudhsm-jce.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-jce.log>
[--log-type <file | term>
]
Default is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for JCE
[--enable-validate-key-at-init]
- CloudHSM CLI
-
configure-cli[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--client-cert-hsm-tls-file <client certificate hsm tls path>
]
[--client-key-hsm-tls-file <client key hsm tls path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default for Linux is </opt/cloudhsm/run/cloudhsm-cli.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-cli.log>
[--log-type <file | term>
]
Default setting is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for CloudHSM CLI
[--enable-validate-key-at-init]
如需用戶端 SDK 5 設定工具特定的進階設定清單,請參閱用戶端 SDK 5 設定工具的進階設定。
變更組態後,您需要重新啟動應用程式才能使變更生效。
這些範例說明如何使用用戶端 SDK 5 的設定工具。
此範例使用-a
參數來更新用戶端 SDK 5 的HSM資料。若要使用-a
參數,您必須擁有叢集中其中一個HSMs的 IP 位址。
- PKCS #11 library
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體
- OpenSSL Dynamic Engine
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體
- JCE provider
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體
- CloudHSM CLI
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體
您可以使用 –-cluster-id
參數來代替 -a <HSM_IP_ADDRESSES>
。若要查看使用 –-cluster-id
的需求,請參閱 用戶端 SDK 5 設定工具。
如需 -a
參數的詳細資訊,請參閱 參數。
此範例會使用cluster-id
參數,透過DescribeClusters
撥打呼叫來啟動用戶端 SDK 5。
- PKCS #11 library
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體,請使用 cluster-id
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體 cluster-id
- OpenSSL Dynamic Engine
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體,請使用 cluster-id
- JCE provider
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體,請使用 cluster-id
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體 cluster-id
- CloudHSM CLI
-
若要啟動用戶端 SDK 5 的 Linux EC2 執行個體,請使用 cluster-id
若要啟動用戶端 SDK 5 的 Windows EC2 執行個體 cluster-id
您可以將 --region
和 --endpoint
參數與 cluster-id
參數結合使用,以指定系統進行 DescribeClusters
呼叫的方式。例如,如果叢集的區域與設定為AWSCLI預設值的區域不同,則應使用該--region
參數來使用該區域。此外,您還可以指定要用於呼叫的 AWS CloudHSM API端點,這對於各種網路設定來說可能是必要的,例如使用不使用預設DNS主機名稱的VPC介面端點 AWS CloudHSM。
- PKCS #11 library
-
使用自訂端點和區域啟動 Linux EC2 執行個體
啟動具有端點和區域的 Windows EC2 執行個體
-
使用配置工具來指定具有自訂區域和端點的叢集HSM中的 IP 位址。
C:\Program Files\Amazon\CloudHSM\configure-pkcs11.exe --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
- OpenSSL Dynamic Engine
-
使用自訂端點和區域啟動 Linux EC2 執行個體
- JCE provider
-
使用自訂端點和區域啟動 Linux EC2 執行個體
啟動具有端點和區域的 Windows EC2 執行個體
-
使用配置工具來指定具有自訂區域和端點的叢集HSM中的 IP 位址。
"C:\Program Files\Amazon\CloudHSM\configure-jce.exe" --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
- CloudHSM CLI
-
使用自訂端點和區域啟動 Linux EC2 執行個體
啟動具有端點和區域的 Windows EC2 執行個體
-
使用配置工具來指定具有自訂區域和端點的叢集HSM中的 IP 位址。
"C:\Program Files\Amazon\CloudHSM\configure-cli.exe" --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
如需 --cluster-id
、--region
和 --endpoint
參數的詳細資訊,請參閱 參數。
此範例顯示如何使用--server-client-cert-file
和--server-client-key-file
參數來重新設定,方SSL法是指定自訂金鑰和SSL憑證 AWS CloudHSM
- PKCS #11 library
-
使用自訂憑證和金鑰進行 Linux 上用戶端與用戶端 SDK 5 的用戶端與TLS伺服器相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
$
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.crt
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-pkcs11 \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
使用自訂憑證和金鑰與 Windows 上的用戶端 SDK 5 進行用戶端與TLS伺服器之間的相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.crt
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-pkcs11.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- OpenSSL Dynamic Engine
-
使用自訂憑證和金鑰進行 Linux 上用戶端與用戶端 SDK 5 的用戶端與TLS伺服器相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.crt
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-dyn \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
- JCE provider
-
使用自訂憑證和金鑰進行 Linux 上用戶端與用戶端 SDK 5 的用戶端與TLS伺服器相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.crt
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-jce \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
使用自訂憑證和金鑰與 Windows 上的用戶端 SDK 5 進行用戶端與TLS伺服器之間的相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.crt
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-jce.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- CloudHSM CLI
-
使用自訂憑證和金鑰進行 Linux 上用戶端與用戶端 SDK 5 的用戶端與TLS伺服器相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.crt
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-cli \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
使用自訂憑證和金鑰與 Windows 上的用戶端 SDK 5 進行用戶端與TLS伺服器之間的相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.crt
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-cli.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
如需 --server-client-cert-file
和 --server-client-key-file
參數的詳細資訊,請參閱 參數。
此範例顯示如何使用--client-cert-hsm-tls-file
和--client-key-hsm-tls-file
參數來重新設定,方SSL法是指定自訂金鑰和SSL憑證 AWS CloudHSM
- PKCS #11 library
-
若要在 Linux 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.pem /opt/cloudhsm/etc
$
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.pem
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-pkcs11 \
--client-cert-hsm-tls-file /opt/cloudhsm/etc/ssl-client.pem
\
--client-key-hsm-tls-file /opt/cloudhsm/etc/ssl-client.key
在 Windows 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.pem C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.pem
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-pkcs11.exe" `
--client-cert-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
`
--client-key-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- OpenSSL Dynamic Engine
-
若要在 Linux 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.pem /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.pem
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-dyn \
--client-cert-hsm-tls-file /opt/cloudhsm/etc/ssl-client.pem
\
--client-key-hsm-tls-file /opt/cloudhsm/etc/ssl-client.key
- JCE provider
-
若要在 Linux 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.pem /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.pem
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-jce \
--client-cert-hsm-tls-file /opt/cloudhsm/etc/ssl-client.pem
\
--client-key-hsm-tls-file /opt/cloudhsm/etc/ssl-client.key
在 Windows 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.pem C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.pem
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-jce.exe" `
--client-cert-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
`
--client-key-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- CloudHSM CLI
-
若要在 Linux 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
$
sudo cp ssl-client.pem /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
使用設定工具來指定 ssl-client.pem
和 ssl-client.key
。
$
sudo /opt/cloudhsm/bin/configure-cli \
--client-cert-hsm-tls-file /opt/cloudhsm/etc/ssl-client.pem
\
--client-key-hsm-tls-file /opt/cloudhsm/etc/ssl-client.key
在 Windows 上使用自訂憑證和金鑰進行用TLS戶端與用戶端 SDK 5 的HSM相互驗證
-
將您的金鑰和憑證複製到適當的目錄。
cp ssl-client.pem C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
對於 PowerShell 解釋器,使用配置工具來指定ssl-client.pem
和ssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-cli.exe" `
--client-cert-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.pem
`
--client-key-hsm-tls-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
如需 --client-cert-hsm-tls-file
和 --client-key-hsm-tls-file
參數的詳細資訊,請參閱 參數。
此範例使用 --disable-key-availability-check
參數來停用用戶端金鑰耐久性設定。若要以單一叢集執行叢集HSM,您必須停用用戶端金鑰耐久性設定。
- PKCS #11 library
-
若要停用 Linux 上用戶端 SDK 5 的用戶端金鑰耐久性
在 Windows 上停用用戶端 SDK 5 的用戶端金鑰耐久性
- OpenSSL Dynamic Engine
-
若要停用 Linux 上用戶端 SDK 5 的用戶端金鑰耐久性
- JCE provider
-
若要停用 Linux 上用戶端 SDK 5 的用戶端金鑰耐久性
在 Windows 上停用用戶端 SDK 5 的用戶端金鑰耐久性
- CloudHSM CLI
-
若要停用 Linux 上用戶端 SDK 5 的用戶端金鑰耐久性
在 Windows 上停用用戶端 SDK 5 的用戶端金鑰耐久性
如需 --disable-key-availability-check
參數的詳細資訊,請參閱 參數。
用戶端 SDK 5 會使用log-file
log-level
、log-rotation
、和log-type
參數來管理記錄。
若要針SDK對無伺服器環境 (例如 AWS Fargate 或 AWS Lambda) 進行設定,建議您將 AWS CloudHSM 日誌類型設定為。term
用戶端記錄檔將輸出至針對該環境設定的 CloudWatch 記錄檔記錄群組,stderr
並將其擷取到該環境中。
- PKCS #11 library
-
預設日誌位置
-
如果您未指定檔案的位置,系統會將日誌寫入下列預設位置:
Linux
/opt/cloudhsm/run/cloudhsm-pkcs11.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-pkcs11.log
- OpenSSL Dynamic Engine
-
- JCE provider
-
預設日誌位置
-
如果您未指定檔案的位置,系統會將日誌寫入下列預設位置:
Linux
/opt/cloudhsm/run/cloudhsm-jce.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-jce.log
- CloudHSM CLI
-
預設日誌位置
-
如果您未指定檔案的位置,系統會將日誌寫入下列預設位置:
Linux
/opt/cloudhsm/run/cloudhsm-cli.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-cli.log
如需 log-file
、log-level
、log-rotation
和 log-type
參數的詳細資訊,請參閱 參數。
此範例使用--hsm-ca-cert
參數來更新 Client SDK 5 之發行憑證的位置。
- PKCS #11 library
-
若要將用戶端 SDK 5 的核發憑證放置在 Linux 上
- OpenSSL Dynamic Engine
-
若要將用戶端 SDK 5 的核發憑證放置在 Linux 上
- JCE provider
-
若要將用戶端 SDK 5 的核發憑證放置在 Linux 上
- CloudHSM CLI
-
若要將用戶端 SDK 5 的核發憑證放置在 Linux 上
如需 --hsm-ca-cert
參數的詳細資訊,請參閱 參數。
- -a
<ENI IP address>
-
將指定的 IP 位址新增至用戶端 SDK 5 組態檔。輸入叢集HSM中的任何 ENI IP 位址。如需有關如何使用此選項的詳細資訊,請參閱啟動程序用戶端 SDK 5。
必要:是
- --hsm-ca-cert
<customerCA certificate file path>
-
儲存憑證授權單位 (CA) 憑證的目錄路徑,用來將用EC2戶端執行個體連線至叢集。您可在初始化叢集時建立此檔案。按照預設,系統會在下列位置尋找此檔案:
Linux
/opt/cloudhsm/etc/customerCA.crt
Windows
C:\ProgramData\Amazon\CloudHSM\customerCA.crt
如需有關初始化叢集或放置憑證的詳細資訊,請參閱 在每個 EC2 執行個體上安裝發行憑證 和 初始化叢集。
必要:否
- -叢集識別碼
<cluster ID>
-
DescribeClusters
呼叫以尋找叢集中與叢集 ID 相關聯的所有 elastic network interface (ENI) IP 位址。HSM系統會將 ENI IP 位址新增至組 AWS CloudHSM 態檔案。
如果您在無法存取公用網際網路VPC的EC2執行個體中使用--cluster-id
參數,則必須建立要連線的介面VPC端點 AWS CloudHSM。如需VPC端點的詳細資訊,請參閱AWS CloudHSM 和VPC端點。
必要:否
- -端點
<endpoint>
-
指定用於撥DescribeClusters
打電話的 AWS CloudHSM API端點。您必須結合 --cluster-id
設定此選項。
必要:否
- --region
<region>
-
指您叢集的區域。您必須結合 --cluster-id
設定此選項。
如果您未提供 --region
參數,系統會嘗試讀取 AWS_DEFAULT_REGION
或 AWS_REGION
環境變數來選擇區域。如果未設定這些變數,則除非您在AWS_CONFIG_FILE
環境變數中指定了不同的檔案,否則系統會檢查您設AWS定檔 (通常~/.aws/config
) 中與設定檔相關聯的區域。如果未設定上述任何變數,系統會預設為 us-east-1
區域。
必要:否
- --server-client-cert-file
<client certificate file path>
-
用於用戶端TLS與伺服器相互驗證的用戶端憑證路徑。
僅當您不希望使用我們包含在 Client SDK 5 中的預設金鑰和SSL/TLS憑證時,才使用此選項。您必須結合 --server-client-key-file
設定此選項。
必要:否
- --server-client-key-file
<client key file path>
-
用於用戶端TLS與伺服器相互驗證的用戶端金鑰路徑。
僅當您不希望使用我們包含在 Client SDK 5 中的預設金鑰和SSL/TLS憑證時,才使用此選項。您必須結合 --server-client-cert-file
設定此選項。
必要:否
- ---client-cert-hsm-tls 文件
<client certificate hsm tls path>
-
用於用戶端HSM相互驗證的用TLS戶端憑證路徑。
只有在您已向 Cloud 註冊至少一個信任錨點時,才使HSM用此選項HSMCLI。您必須結合 --client-key-hsm-tls-file
設定此選項。
必要:否
- ---client-key-hsm-tls 文件
<client key hsm tls path>
-
用於用戶端HSM相互驗證的用TLS戶端金鑰路徑。
只有在您已向 Cloud 註冊至少一個信任錨點時,才使HSM用此選項HSMCLI。您必須結合 --client-cert-hsm-tls-file
設定此選項。
必要:否
- --log-level
<error | warn | info | debug |
trace>
-
指定系統應寫入日誌檔的最低日誌層級。每個層級包括以前的層級,錯誤作為最低層級,追蹤為最高層級。這表示如果您指定錯誤,系統只會將錯誤寫入日誌。如果您指定追蹤,系統會將錯誤、警告、資訊 (info) 和偵錯訊息寫入日誌檔。如需詳細資訊,請參閱用戶端 SDK 5 記錄。
必要:否
- -對數旋轉
<daily | weekly>
-
指系統輪換日誌檔的頻率。如需詳細資訊,請參閱用戶端 SDK 5 記錄。
必要:否
- -日誌文件
<file name with path>
-
指系統將寫入日誌檔的位置。如需詳細資訊,請參閱用戶端 SDK 5 記錄。
必要:否
- -日誌型
<term | file>
-
指系統是否將日誌寫入檔案或終端。如需詳細資訊,請參閱用戶端 SDK 5 記錄。
必要:否
- -h | --help
-
顯示幫助。
必要:否
- -v | --version
-
顯示版本。
必要:否
- --disable-key-availability-check
-
停用金鑰可用性仲裁的旗標。使用此旗標可指示 AWS CloudHSM 應停用金鑰可用性仲裁,而且您可以使用叢集HSM中只有一個金鑰存在的金鑰。如需有關使用此旗標設定金鑰可用性仲裁的詳細資訊,請參閱 管理用戶端金鑰耐久性設定。
必要:否
- --enable-key-availability-check
-
啟動金鑰可用性仲裁的旗標。使用此旗標表示 AWS CloudHSM 應該使用金鑰可用性仲裁,而且在叢集HSMs中的兩個金鑰上存在這些金鑰之前,不允許您使用金鑰。如需有關使用此旗標設定金鑰可用性仲裁的詳細資訊,請參閱 管理用戶端金鑰耐久性設定。
預設啟用。
必要:否
- --初始disable-validate-key-at化
-
指定您可以跳過初始化呼叫來驗證後續呼叫之金鑰的權限,以此改善效能。請謹慎使用。
背景:PKCS#11 程式庫中的某些機制支援多部分作業,其中初始化呼叫會驗證您是否可以將金鑰用於後續呼叫。這需要對的驗證呼叫HSM,這會增加整體作業的延遲。此選項可讓您停用後續呼叫,並可能改善效能。
必要:否
- --初始enable-validate-key-at化
-
指您應該使用初始化呼叫來驗證後續呼叫的金鑰權限。此為預設選項。使用 disable-validate-key-at-init
暫停這些初始化呼叫後,再使用 enable-validate-key-at-init
恢復這些初始化呼叫。
必要:否