變更 AWS CloudHSM 用戶端金鑰耐久性設定

在用戶端 SDK 5 中，金鑰同步處理是完全自動的程序。透過金鑰可用性定額組，新建立的金鑰在您的應用程式使用金鑰前必須存在於叢集中的兩個 HSM 上。若要使用金鑰可用性定額組，您的叢集必須至少要有兩個 HSM。

如果您的叢集組態不符合金鑰耐久性需求，則建立或使用權杖金鑰的任何嘗試都會失敗，並在日誌中顯示下列錯誤訊息：

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

您可以使用用戶端組態設定來選擇退出金鑰可用性定額組。例如，您可能想要選擇退出以單一 HSM 執行叢集。

用戶端 SDK 5 概念

管理用戶端金鑰耐久性設定

若要管理用戶端金鑰耐久性設定，您必須使用用戶端 SDK 5 的設定工具。

Key <key handle> does not meet the availability requirements - The key must be available on at least 2 HSMs before being used.

在用戶端 SDK 3 中，金鑰同步處理大部分是自動程序，但您可以使用用戶端金鑰耐久性設定，讓金鑰更耐久。您需要指定必須成功建立金鑰的 HSM 數目，整體作業才會視為成功。無論您選擇何種設定，用戶端同步處理始終都會盡最大努力嘗試將金鑰複製到叢集中的每個 HSM。您的設定會對您指定的 HSM 數量強制建立金鑰。如果您指定一個值，但系統無法將金鑰複製到該數目的 HSM，則系統會自動清除任何不需要的金鑰材料，您可以再試一次。

若要最大化金鑰持久性，請考慮為用戶端同步處理指定至少兩個 HSM。請記住，無論您指定了多少 HSM，叢集上的工作負載都保持不變。用戶端同步處理一律會盡最大努力嘗試將金鑰複製到叢集中的每個 HSM。

建議

如果用戶端同步處理失敗，用戶端服務會清除任何可能已建立且現在不需要的多餘金鑰。這種清理是盡力而為的回應，可能並非不總是有效。如果清理失敗，您可能必須刪除不需要的金鑰材料。如需詳細資訊，請參閱金鑰同步處理失敗。

設定用戶端金鑰耐久性的組態檔案

若要指定用戶端金鑰耐久性設定，您必須編輯 cloudhsm_client.cfg。

組態參考

以下是用戶端同步處理屬性，如 cloudhsm_client.cfg 的摘錄所示：

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}

KMU 與用戶端同步

如果您使用 key_mgmt_util (KMU) 命令列工具建立金鑰，您可以使用選用的命令列參數 (-min_srv) 來限制需要複製金鑰的 HSM 數目。如果您指定命令列參數和組態檔案中的值， 會 AWS CloudHSM 認可兩個值的 LARGER。

如需詳細資訊，請參閱下列主題：

{
    "client": {
        "create_object_minimum_nodes" : 2,
        ...
    },
    
    ...
}