本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

對自訂金鑰存放區進行故障診斷

AWS CloudHSM 主要商店設計為可用且具備彈性。但是，您可能需要修復一些錯誤情況才能保持您的 AWS CloudHSM 關鍵存儲操作。

如何修復無法使用的KMS金鑰

的關鍵狀態 AWS KMS keys 在一個 AWS CloudHSM 密鑰存儲通常是Enabled。像所有密KMS鑰一樣，當您禁用密鑰時，密KMS鑰狀態會更改 AWS CloudHSM 密鑰存儲或排程它們進行刪除。不過，與其他KMS金鑰不同，自訂KMS金鑰存放區中的金鑰也可以具有的金鑰狀態Unavailable。

的金鑰狀態Unavailable表示KMS金鑰位於有意中斷連線的自訂金鑰存放區中，並嘗試重新連線 (如果有的話) 失敗。當KMS金鑰無法使用時，您可以檢視和管理KMS金鑰，但無法將其用於密碼編譯作業。

若要尋找金鑰的金KMS鑰狀態，請在客戶管理的金鑰頁面上檢視金KMS鑰的 [狀態] 欄位。或者，使用DescribeKey操作並查看響應中的KeyState元素。如需詳細資訊，請參閱 檢視金鑰。

已中斷連線的自訂KMS金鑰存放區中的金鑰狀態為Unavailable或PendingDeletion。KMS排定從自訂金鑰存放區刪除的金鑰具有金Pending Deletion鑰狀態，即使自訂金鑰存放區中斷連線也是如此。這可讓您取消排程的金鑰刪除，而無需重新連接自訂金鑰存放區。

若要修正無法使用的KMS金鑰，請重新連線自訂金鑰存放區。重新連線自訂金鑰存放區之後，自訂金鑰存放區中KMS金鑰的金鑰狀態會自動還原到先前的狀態，例如Enabled或Disabled。KMS擱置刪除的金鑰會保留在PendingDeletion狀態。但是，雖然問題仍然存在，但啟用和停用無法使用的KMS金鑰並不會變更其金鑰狀態。啟用或停用動作僅在金鑰可供使用時生效。

如需失敗的連接的協助，請參閱如何修正連線失敗。

如何修復失敗的KMS密鑰

在中創建和使用KMS密鑰時出現問題 AWS CloudHSM 關鍵存儲可能是由您的問題引起的 AWS CloudHSM 金鑰存放區, 其關聯 AWS CloudHSM 集群，KMS密鑰或它的關鍵材料。

當 AWS CloudHSM 密鑰存儲與其斷開 AWS CloudHSM 群集，自定義密KMS鑰存儲中密鑰的密鑰狀態是Unavailable。在斷開連接的所有請求中創建KMS密鑰 AWS CloudHSM 密鑰存儲返回一個CustomKeyStoreInvalidStateException異常。加密、解密、重新加密或產生資料金鑰的所有請求會傳回 KMSInvalidStateException 例外狀況。若要修正此問題，請重新連線 AWS CloudHSM 金鑰存放區。

但是，您嘗試使用KMS密鑰 AWS CloudHSM 密碼編譯作業的金鑰存放區可能會失敗，即使其金鑰狀態為Enabled且連線狀態為 AWS CloudHSM 密鑰存儲是Connected。這可能是因為以下任何情況所造成。

如何修正連線失敗

如果您嘗試連接 AWS CloudHSM 密鑰存儲到其 AWS CloudHSM 群集，但操作失敗，連接狀態 AWS CloudHSM 金鑰存放區變更為FAILED。若要尋找的連線狀態 AWS CloudHSM 金鑰存放區，使用 AWS KMS 控制台或DescribeCustomKeyStores操作。

或者，由於很容易偵測到叢集組態錯誤，一些連接嘗試會很快失敗。在這種情況下，連接狀態仍然是 DISCONNECTED。這些失敗會傳回錯誤訊息或 例外狀況來說明嘗試失敗的原因。檢閱例外狀況描述和叢集需求、修正問題、更新 AWS CloudHSM 密鑰存儲，如果必要的話，並嘗試再次連接。

當連接狀態為時FAILED，執行DescribeCustomKeyStores作業並查看回應中的ConnectionErrorCode元素。

如何回應密碼編譯操作失敗

在自訂金鑰存放區中使用KMS金鑰的密碼編譯作業可能會失敗，並顯示. KMSInvalidStateException 下列錯誤訊息可能會伴隨 KMSInvalidStateException。

如何修正無效的 kmsuser 登入資料

當您連接 AWS CloudHSM 鑰匙存儲， AWS KMS 登錄到關聯 AWS CloudHSM 群集為加kmsuser密用戶（CU）。它保持登錄狀態，直到 AWS CloudHSM 金鑰存放區已中斷連線。回DescribeCustomKeyStores應顯示ConnectionState的是FAILED和ConnectionErrorCode值INVALID_CREDENTIALS，如下列範例所示。

如果您斷開連接 AWS CloudHSM 密鑰存儲和更改kmsuser密碼， AWS KMS 無法登錄 AWS CloudHSM 使用 kmsuser CU 帳戶的憑據集群。因此，所有嘗試連接 AWS CloudHSM 金鑰存放區失敗。DescribeCustomKeyStores 回應顯示 FAILED 的 ConnectionState 和 INVALID_CREDENTIALS 的 ConnectionErrorCode 值，如以下範例所示。

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "INVALID_CREDENTIALS"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

此外，在嘗試使用錯誤密碼登入叢集的五次失敗之後， AWS CloudHSM 鎖定使用者帳戶。若要登入叢集，您必須變更帳戶的密碼。

If AWS KMS 當它嘗試以 kmsuser CU (連接的請求) 身份登入叢集時，會取得鎖定回應 AWS CloudHSM 金鑰存放區失敗。回DescribeCustomKeyStores應包含ConnectionState的FAILED和ConnectionErrorCode值USER_LOCKED_OUT，如下列範例所示。

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleKeyStore
{
   "CustomKeyStores": [
      "CloudHsmClusterId": "cluster-1a23b4cdefg",
      "ConnectionErrorCode": "USER_LOCKED_OUT"
      "CustomKeyStoreId": "cks-1234567890abcdef0",
      "CustomKeyStoreName": "ExampleKeyStore",
      "TrustAnchorCertificate": "<certificate string appears here>",
      "CreationDate": "1.499288695918E9",
      "ConnectionState": "FAILED"
   ],
}

若要修正任一個情況，請使用下列程序。

如何刪除遺棄的金鑰材料

排程從刪除KMS金鑰之後 AWS CloudHSM 密鑰存儲，您可能需要從關聯的密鑰手動刪除相應的密鑰材料 AWS CloudHSM 集群。

當您在 KMS AWS CloudHSM 鑰匙存儲， AWS KMS 建立KMS金鑰中繼資料 AWS KMS 並產生關聯的關鍵材料 AWS CloudHSM 集群。當您排程刪除中的KMS索引鍵時 AWS CloudHSM 鑰匙店，等待期後， AWS KMS 刪除KMS金鑰中繼資料。然後 AWS KMS 盡最大努力從中刪除相應的關鍵材料 AWS CloudHSM 集群。如果嘗試可能會失敗 AWS KMS 無法存取叢集，例如當叢集中斷連線時 AWS CloudHSM 密鑰存儲或kmsuser密碼更改。 AWS KMS 不會嘗試從叢集備份刪除金鑰材料。

AWS KMS 報告其嘗試從集群中刪除密鑰材料DeleteKey的結果 AWS CloudTrail 日誌。它會出現在 additionalEventData 元素的 backingKeysDeletionStatus 元素中，如以下範例項目所示。該條目還包括KMS密鑰ARN， AWS CloudHSM 叢集識別碼，以及金鑰材料的 ID (backing-key-id)。

{
    "eventVersion": "1.08",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "AWS Internal"
    },
    "eventTime": "2021-12-10T14:23:51Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DeleteKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "AWS Internal",
    "userAgent": "AWS Internal",
    "requestParameters": null,
    "responseElements":  {
        "keyId":"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "additionalEventData": {
        "customKeyStoreId": "cks-1234567890abcdef0",
        "clusterId": "cluster-1a23b4cdefg",
        "backingKeys": "[{\"backingKeyId\":\"backing-key-id\"}]",
        "backingKeysDeletionStatus": "[{\"backingKeyId\":\"backing-key-id\",\"deletionStatus\":\"FAILURE\"}]"
    },
    "eventID": "c21f1f47-f52b-4ffe-bff0-6d994403cf40",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:eu-west-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsServiceEvent",
    "recipientAccountId": "111122223333",
    "managementEvent": true,
    "eventCategory": "Management"
}

以下程序示範如何從關聯的刪除孤立的主鍵材料 AWS CloudHSM 集群。

如何復原已刪除金鑰的KMS金鑰材料

如果關鍵材料為 AWS KMS key 被刪除，密KMS鑰無法使用，並且在密KMS鑰下加密的所有密文都無法解密。這可能發生，如果在一個鍵的KMS關鍵材料 AWS CloudHSM 密鑰存儲已從關聯中刪除 AWS CloudHSM 集群。不過，復原金鑰材料可能可行。

當您創建 AWS KMS key （KMS鍵）中 AWS CloudHSM 鑰匙存儲， AWS KMS 登錄到關聯 AWS CloudHSM 集群並創建密鑰的關KMS鍵材料。它還將密碼更改為只有它知道並保持登錄的值，只要 AWS CloudHSM 金鑰存放區已連線。因為只有金鑰擁有者 (也就是建立金鑰的 CU) 可以刪除金鑰，因此不太可能會HSMs意外刪除金鑰。

但是，如果從叢集HSMs中刪除KMS金鑰的金鑰材料，則金鑰的金鑰狀態最終會變更為UNAVAILABLE。KMS如果您嘗試使用KMS金鑰進行密碼編譯作業，作業會失敗，並顯示KMSInvalidStateException例外狀況。最重要的是，任何以KMS金鑰加密的資料都無法解密。

在某些情況下，您可以透過從包含金鑰材料的備份建立叢集來復原已刪除的金鑰材料。此策略僅在當該金鑰存在時並且在刪除它之前建立了至少一個備份的情況下才有用。

使用以下程序來復原金鑰材料。

如何以 kmsuser 身分登入

若要在中建立和管理關鍵材料 AWS CloudHSM 您的叢集 AWS CloudHSM 鑰匙存儲， AWS KMS 使用kmsuser加密用戶（CU）帳戶。您可以在叢集中建立 kmsuser CU 帳戶，並將其密碼提供給 AWS KMS 當你創建 AWS CloudHSM 金鑰存放區。

在一般情況下， AWS KMS 管理kmsuser帳戶。但是，對於某些任務，您需要斷開 AWS CloudHSM 金鑰存放區，以 kmsuser CU 身分登入叢集，然後使用雲端HSM命令列介面 (CLI)。

本主題說明如何中斷連接 AWS CloudHSM 密鑰存儲和登錄為kmsuser，運行 AWS CloudHSM 命令行工具，然後註銷並重新連接 AWS CloudHSM 金鑰存放區。

如何中斷連線和登入

每次需要以kmsuser密碼使用者身分登入關聯的叢集時，請遵循下列程序。

如何登出和重新連線

每次您需要以kmsuser加密使用者身分登出並重新連線金鑰存放區時，請使用下列程序。