AWS CloudHSM 啟用使用 Cloud 的法定身分驗證的使用者管理HSM CLI

此範例會取得使用者名稱為 admin 的管理員的規定人數權杖並將權杖儲存至名為 admin.token 的檔案中。若要使用範例命令，請將這些值取代為您自己的值：

在以下命令中，user 會識別您可以對其使用要生成權杖的服務名稱。在此情況下，權杖適用於HSM使用者管理操作 （user 服務）。

aws-cloudhsm > login --username <ADMIN> --role <ADMIN> --password <PASSWORD>
{
  "error_code": 0,
  "data": {
    "username": "admin",
    "role": "admin"
  }
}

aws-cloudhsm > quorum token-sign generate --service user --token </path/admin.token>
{
  "error_code": 0,
  "data": {
    "path": "/home/tfile"
  }
}

quorum token-sign generate 命令會在指定的檔案路徑產生使用者服務規定人數權杖。可以檢查權杖文件：

$cat </path/admin.token>
{
  "version": "2.0",
  "approval_data": "AAEAAwAAABgAAAAAAAAAAJ9eFkfcP3mNzJAlfK+OWbNhZG1pbgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABj5vbeAAAAAAAAAAAAAQADAAAAFQAAAAAAAAAAW/v5Euk83amq1fij0zyvD2FkbWluAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGPm9t4AAAAAAAAAAAABAAMAAAAUAAAAAAAAAABDw2XDwfK4hB8a15Xh1E0nYWRtaW4AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAY+b23gAAAAAAAAAA",
  "token": "0l2LZkmAHZyAc1hPhyckOoVW33aGrgG77qmDHWQ3CJ8=",
  "signatures": []
}

權杖檔案由以下項目組成：

產生的使用者服務量權杖可以透過執行 quorum token-sign list命令來確認存在於 CloudHSM 叢集上：

aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "admin",
        "service": "user",
        "approvals-required": {
          "value": 2
        },
        "number-of-approvals": {
          "value": 0
        },
        "token-timeout-seconds": {
          "value": 597
        },
        "cluster-coverage": "full"
      }
    ]
  }
}

token-timeout-seconds 時間表示過期前需核准的所產生權杖的超時期 (以秒為單位)。

在這個範例中，具有權杖 (admin) 的管理員需要至少兩 (2) 個核准。下列範例命令顯示兩 （2） 個管理員如何使用 OpenSSL 以密碼編譯方式簽署權杖。

在下列範例中，登入的管理員會在 上建立新的使用者HSM：

aws-cloudhsm > user create --username user1 --role crypto-user --approval /path/admin.token
Enter password:
Confirm password:
{
  "error_code": 0,
  "data": {
    "username": "user1",
    "role": "crypto-user"
  }
}

然後，管理員輸入 user list 命令以確認新使用者的建立：

aws-cloudhsm > user list{
  "error_code": 0,
  "data": {
    "users": [
      {
        "username": "admin",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin2",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin3",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "admin4",
        "role": "admin",
        "locked": "false",
        "mfa": [],
        "quorum": [
          {
            "strategy": "token-sign",
            "status": "enabled"
          }
        ],
        "cluster-coverage": "full"
      },
      {
        "username": "user1",
        "role": "crypto-user",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      },
      {
        "username": "app_user",
        "role": "internal(APPLIANCE_USER)",
        "locked": "false",
        "mfa": [],
        "quorum": [],
        "cluster-coverage": "full"
      }
    ]
  }
}

如果管理員嘗試執行另一個HSM使用者管理操作，則會失敗，並出現法定身分驗證錯誤：

aws-cloudhsm > user delete --username user1 --role crypto-user
{
  "error_code": 1,
  "data": "Quorum approval is required for this operation"
}

如下所示，quorum token-sign list 命令顯示管理員沒有核准的權杖。若要執行另一個HSM使用者管理操作，管理員必須產生新的法定權杖、從核准者取得新的簽章，並使用 -- 核准引數執行所需的使用者管理操作，以便在執行使用者管理操作期間提供要核准和使用的法定權杖。

aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": []
  }
}