Benutzertyp Voraussetzungen Syntax Beispiel Argumente Verwandte Themen

Generieren Sie eine Signatur mit dem RSA-PKCS-PSS Mechanismus in CloudHSM CLI

Verwenden Sie den crypto sign rsa-pkcs-pss Befehl in der CloudHSM-CLI, um mithilfe eines privaten RSA-Schlüssels und des Signaturmechanismus eine Signatur zu generieren. RSA-PKCS-PSS

Um den crypto sign rsa-pkcs-pss Befehl verwenden zu können, benötigen Sie zunächst einen privaten RSA-Schlüssel in Ihrem Cluster. AWS CloudHSM Sie können einen privaten RSA-Schlüssel generieren, indem Sie den Generieren Sie ein asymmetrisches RSA-Schlüsselpaar mit CloudHSM CLI Befehl verwenden, bei dem das sign Attribut auf gesetzt ist. true

Anmerkung

Signaturen können AWS CloudHSM mit Die Krypto-Verifizierungskategorie in CloudHSM CLI Unterbefehlen verifiziert werden.

Benutzertyp

Die folgenden Benutzertypen können diesen Befehl ausführen.

Crypto-Benutzer (CUs)

Voraussetzungen

Um diesen Befehl auszuführen, müssen Sie als CU angemeldet sein.

Syntax


aws-cloudhsm > help crypto sign rsa-pkcs-pss
Sign with the RSA-PKCS-PSS mechanism

Usage: crypto sign rsa-pkcs-pss [OPTIONS] --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --salt-length <SALT_LENGTH> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>        Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]   Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>  [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>          The path to the file containing the data to be signed
      --data <DATA>                    Base64 Encoded data to be signed
      --mgf <MGF>                      The mask generation function [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --salt-length <SALT_LENGTH>      The salt length
      --approval <APPROVAL>            Filepath of signed quorum token file to approve operation
      --data-type <DATA_TYPE>          The type of data passed in, either raw or digest [possible values: raw, digest]
  -h, --help                           Print help

Beispiel

Diese Beispiele zeigen, wie eine Signatur mithilfe des RSA-PKCS-PSS Signaturmechanismus und der SHA256 Hash-Funktion generiert wird. crypto sign rsa-pkcs-pss Dieser Befehl verwendet einen privaten Schlüssel im HSM.

Beispiel Beispiel: Generieren Sie eine Signatur für Base-64-kodierte Daten


aws-cloudhsm > crypto sign rsa-pkcs-pss \
    --key-filter attr.label=rsa-private \
    --hash-function sha256 \
    --data YWJjMTIz \
    --salt-length 10 \
    --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}

Beispiel Beispiel: Generieren Sie eine Signatur für eine Datendatei


aws-cloudhsm > crypto sign rsa-pkcs-pss \
    --key-filter attr.label=rsa-private \
    --hash-function sha256 \
    --data-path data.txt \
    --salt-length 10 \
    --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}

Argumente

<CLUSTER_ID>

Die ID des Clusters, auf dem dieser Vorgang ausgeführt werden soll.

Erforderlich: Wenn mehrere Cluster konfiguriert wurden.

<DATA>

Base64-kodierte Daten, die signiert werden sollen.

Erforderlich: Ja (sofern nicht über den Datenpfad angegeben)

<DATA_PATH>

Gibt den Speicherort der Daten an, die signiert werden sollen.

Erforderlich: Ja (sofern nicht durch Daten angegeben)

<HASH_FUNCTION>

Gibt die Hash-Funktion an.

Zulässige Werte:

sha1
sha224
sha256
sha384
sha512

Erforderlich: Ja

<KEY_FILTER>

Tastenreferenz (z. B.key-reference=0xabc) oder durch Leerzeichen getrennte Liste von Schlüsselattributen in der Form von attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE zur Auswahl eines passenden Schlüssels.

Eine Liste der unterstützten CloudHSM-CLI-Schlüsselattribute finden Sie unter Schlüsselattribute für CloudHSM-CLI.

Erforderlich: Ja

<MGF>

Gibt die Funktion zur Maskengenerierung an.

Anmerkung

Die Hashfunktion der Maskengenerierungsfunktion muss der Hashfunktion des Signaturmechanismus entsprechen.

Zulässige Werte:

mgf1-sha1
mgf1-sha224
mgf1-sha256
mgf1-sha384
mgf1-sha512

Erforderlich: Ja

<SALT_LENGTH>

Gibt die Länge des Salzes an.

Erforderlich: Ja

<APPROVAL>

Gibt den Dateipfad zu einer signierten Quorum-Token-Datei an, um den Vorgang zu genehmigen. Nur erforderlich, wenn der Quorumwert des privaten Schlüssels für den Key Usage Service größer als 1 ist.

<DATA_TYPE>

Gibt an, ob der Wert des Datenparameters als Teil des Signaturalgorithmus gehasht werden soll. Wird raw für Daten ohne Hashing verwendet; wird digest für Digests verwendet, die bereits gehasht sind.

Zulässige Werte:

RAW
Digest