Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Referenz für Befehle AWS CloudHSM der Key Management Utility
Das Befehlszeilentool **key\$1mgmt\$1util** unterstützt Sie bei der Verwaltung von Schlüsseln in den Hardware-Sicherheitsmodulen (HSM) in Ihrem AWS CloudHSM Cluster, einschließlich der Erstellung, Löschung und Suche nach Schlüsseln und deren Attributen. Das Tool umfasst mehrere Befehle, die in diesem Thema ausführlich beschrieben werden.
Informationen zum schnellen Einstieg finden Sie unter [Erste Schritte mit AWS CloudHSM key\$1mgmt\$1util](key_mgmt_util-getting-started.md). Hilfe zur Interpretation der Schlüsselattribute finden Sie unter [AWS CloudHSM Referenz zu Schlüsselattributen für KMU](key-attribute-table.md). Weitere Informationen über das cloudhsm\$1mgmt\$1util-Befehlszeilentool, das Befehle für die Verwaltung von HSM und Benutzern in Ihrem Cluster umfasst, finden Sie unter [AWS CloudHSM Verwaltungsdienstprogramm (CMU)](cloudhsm_mgmt_util.md).
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
Um alle key\$1mgmt\$1util-Befehle aufzulisten, geben Sie Folgendes ein:
```
Command: help
```
Um Hilfe für einen bestimmten key\$1mgmt\$1util-Befehl zu erhalten, geben Sie Folgendes ein:
```
Command: -h
```
Um Ihre key\$1mgmt\$1util-Sitzung zu beenden, geben Sie Folgendes ein:
```
Command: exit
```
Die folgenden Themen beschreiben Befehle in key\$1mgmt\$1util.
**Anmerkung**
Einige Befehle in key\$1mgmt\$1util und cloudhsm\$1mgmt\$1util haben dieselben Namen. Die Befehle haben jedoch in der Regel eine andere Syntax, eine andere Ausgabe und eine leicht unterschiedliche Funktionalität.
| Befehl | Description |
| --- | --- |
| [aesWrapUnwrap](key_mgmt_util-aesWrapUnwrap.md) | Verschlüsselt und entschlüsselt den Inhalt eines Schlüssels in einer Datei. |
| [deleteKey](key_mgmt_util-deleteKey.md) | HSMsLöscht einen Schlüssel aus dem. |
| [Error2String](key_mgmt_util-Error2String.md) | Gibt den Fehler zurück, der dem hexadezimalen key\$1mgmt\$1util-Fehlercode entspricht. |
| [exit](key_mgmt_util-exit.md) | Beendet das key\$1mgmt\$1util. |
| [exportPrivateKey](key_mgmt_util-exportPrivateKey.md) | Exportiert die Kopie eines privaten Schlüssels aus einem HSM in eine Datei auf einem Datenträger. |
| [exportPubKey](key_mgmt_util-exportPubKey.md) | Exportiert eine Kopie eines öffentlichen Schlüssels aus einem HSM in eine Datei. |
| [exSymKey](key_mgmt_util-exSymKey.md) | Exportiert eine Klartextkopie eines symmetrischen Schlüssels von in eine Datei HSMs . |
| [extractMaskedObject](key_mgmt_util-extractMaskedObject.md) | Extrahiert einen Schlüssel aus einem HSM als Datei in Form eines maskierten Objekts. |
| [findKey](key_mgmt_util-findKey.md) | Sucht nach Schlüsseln anhand des Schlüsselattributwerts. |
| [findSingleKey](key_mgmt_util-findSingleKey.md) | Überprüft, ob ein Schlüssel für alle HSMs im Cluster vorhanden ist. |
| [Gen-Paar DSAKey](key_mgmt_util-genDSAKeyPair.md) | Generiert ein DSA-Schlüsselpaar ([Digital Signing Algorithm](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm)) in Ihrem HSMs. |
| [Gen-Paar ECCKey](key_mgmt_util-genECCKeyPair.md) | Generiert ein ECC-Schlüsselpaar ([Elliptic Curve Cryptography](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography)) in Ihrem. HSMs |
| [Gen-Paar RSAKey](key_mgmt_util-genRSAKeyPair.md) | Generiert ein [asymmetrisches RSA-Schlüsselpaar](https://en.wikipedia.org/wiki/RSA_%28cryptosystem%29) in Ihrem. HSMs |
| [genSymKey](key_mgmt_util-genSymKey.md) | Generiert einen symmetrischen Schlüssel in Ihrem HSMs |
| [getAttribute](key_mgmt_util-getAttribute.md) | Liest die Attributwerte eines AWS CloudHSM-Schlüssels und schreibt sie in eine Datei. |
| [getCaviumPrivKey](key_mgmt_util-getCaviumPrivKey.md) (Schlüssel) | Erstellt eine Fake-Version eines privaten Schlüssels im PEM-Format und exportiert ihn in eine Datei. |
| [getCert](key_mgmt_util-getCert.md) | Ruft die Partitionszertifikate eines HSMs ab und speichert sie in einer Datei. |
| [getKeyInfo](key_mgmt_util-getKeyInfo.md) | Ruft den HSM-Benutzer IDs der Benutzer ab, die den Schlüssel verwenden können. Wird der Schlüssel durch ein Quorum gesteuert, wird die Anzahl der Benutzer in dem Quorum gelesen. |
| [help](key_mgmt_util-help.md) | Zeigt Hilfeinformationen zu den in key\$1mgmt\$1util verfügbaren Befehlen an. |
| [importPrivateKey](key_mgmt_util-importPrivateKey.md) | Importiert einen privaten Schlüssel in ein HSM. |
| [importPubKey](key_mgmt_util-importPubKey.md) | Importiert einen öffentlichen Schlüssel in ein HSM. |
| [imSymKey](key_mgmt_util-imSymKey.md) | Importiert eine Klartextkopie eines symmetrischen Schlüssels von einer Datei in das HSM. |
| [insertMaskedObject](key_mgmt_util-insertMaskedObject.md) | Fügt ein maskiertes Objekt aus einer Datei auf einem Datenträger in ein HSM ein, das sich in einem dem ursprünglichen Objekt-Cluster zugehörigen Cluster befindet. Zusammengehörige Cluster sind alle [aus einer Sicherung des ursprünglichen Clusters erstellten](create-cluster-from-backup.md) Cluster. |
| [Schlüsseldatei mit AWS CloudHSM KMU validieren](key_mgmt_util-IsValidKeyHandlefile.md) | Ermittelt, ob eine bestimmte Datei einen echten privaten Schlüssel oder einen Beispiel-PEM-Schlüssel enthält. |
| [listAttributes](key_mgmt_util-listAttributes.md) | Listet die Attribute eines AWS CloudHSM Schlüssels und die Konstanten auf, die sie repräsentieren. |
| [listUsers](key_mgmt_util-listUsers.md) | Ruft die Benutzer in HSMs, ihren Benutzertyp und ihre ID sowie andere Attribute ab. |
| [loginHSM und logoutHSM](key_mgmt_util-loginHSM.md) | Melden Sie sich in einem Cluster HSMs an und ab. |
| [setAttribute](key_mgmt_util-setAttribute.md) | Konvertiert einen Sitzungsschlüssel in einen persistenten Schlüssel. |
| [sign](key_mgmt_util-sign.md) | Erstellen Sie mit einem ausgewählten privaten Schlüssel eine Signatur für eine Datei. |
| [unWrapKey](key_mgmt_util-unwrapKey.md) | Importiert einen verpackten (verschlüsselten) Schlüssel aus einer Datei in die HSMs. |
| [verify](key_mgmt_util-verify.md) | Prüft, ob ein bestimmter Schlüssel zum Signieren einer bestimmten Datei verwendet wurde. |
| [wrapKey](key_mgmt_util-wrapKey.md) | Exportiert eine verschlüsselte Kopie eines Schlüssels aus dem HSM in eine Datei. |
# Eine AWS CloudHSM Datei mit KMU verschlüsseln und entschlüsseln
Verwenden Sie den **aesWrapUnwrap** Befehl in AWS CloudHSM key\$1mgmt\$1util, um den Inhalt einer Datei auf der Festplatte zu verschlüsseln oder zu entschlüsseln. Mit diesem Befehl können Sie Verschlüsselungsschlüssel ein- und auspacken. Sie können ihn für jede Datei verwenden, die weniger als 4 KB (4096 Byte) Daten enthält.
**aesWrapUnwrap**verwendet AES Key Wrap mit PKCS \$15 -Padding. Es verwendet einen AES-Schlüssel im HSM als Ver- und Entpackschlüssel. Dann schreibt er das Ergebnis in eine andere Datei auf dem Datenträger.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
aesWrapUnwrap -h
aesWrapUnwrap -m
-f
-w
[-i ]
[-out ]
```
## Beispiele
Diese Beispiele zeigen, wie man mit **aesWrapUnwrap** einen Verschlüsselungsschlüssel in einer Datei verschlüsselt und entschlüsselt.
**Example : Verschlüsselungsschlüssel verpacken**
Dieser Befehl verwendet **aesWrapUnwrap**, um einen symmetrischen Dreifach-DES-Schlüssel, der [vom HSM im Klartext exportiert wurde](key_mgmt_util-exSymKey.md), in die `3DES.key`-Datei zu packen. Mit einem ähnlichen Befehl können Sie jeden in einer Datei gespeicherten Schlüssel verpacken.
Der Befehl verwendet den `-m`-Parameter mit dem Wert `1`, um den Wrap-Modus festzulegen. Er verwendet den `-w`-Parameter, um einen AES-Schlüssel im HSM (Key-Handle `6`) als Wrapping-Schlüssel anzugeben. Der resultierende verpackte Schlüssel wird in die `3DES.key.wrapped`-Datei geschrieben.
Die Ausgabe zeigt, dass der Befehl erfolgreich war und dass die Operation die Standard-IV verwendet hat, die bevorzugt wird.
```
Command: aesWrapUnwrap -f 3DES.key -w 6 -m 1 -out 3DES.key.wrapped
Warning: IV (-i) is missing.
0xA6A6A6A6A6A6A6A6 is considered as default IV
result data:
49 49 E2 D0 11 C1 97 22
17 43 BD E3 4E F4 12 75
8D C1 34 CF 26 10 3A 8D
6D 0A 7B D5 D3 E8 4D C2
79 09 08 61 94 68 51 B7
result written to file 3DES.key.wrapped
Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS
```
**Example : Verschlüsselungsschlüssel entpacken**
Dieses Beispiel zeigt, wie man **aesWrapUnwrap** verwendet, um einen verpackten (verschlüsselten) Schlüssel in einer Datei zu entpacken (entschlüsseln). Sie können eine solche Operation durchführen, bevor Sie einen Schlüssel in das HSM importieren. Wenn Sie beispielsweise versuchen, den [imSymKey](key_mgmt_util-imSymKey.md)Befehl zum Importieren eines verschlüsselten Schlüssels zu verwenden, wird ein Fehler zurückgegeben, da der verschlüsselte Schlüssel nicht das Format hat, das für einen Klartext-Schlüssel dieses Typs erforderlich ist.
Der Befehl entpackt den Schlüssel in der Datei `3DES.key.wrapped` und schreibt den Klartext in die Datei `3DES.key.unwrapped`. Der Befehl verwendet den `-m`-Parameter mit dem Wert `0`, um den Unwrap-Modus festzulegen. Er verwendet den `-w`-Parameter, um einen AES-Schlüssel im HSM (Key-Handle `6`) als Wrapping-Schlüssel anzugeben. Der resultierende verpackte Schlüssel wird in die `3DES.key.unwrapped`-Datei geschrieben.
```
Command: aesWrapUnwrap -m 0 -f 3DES.key.wrapped -w 6 -out 3DES.key.unwrapped
Warning: IV (-i) is missing.
0xA6A6A6A6A6A6A6A6 is considered as default IV
result data:
14 90 D7 AD D6 E4 F5 FA
A1 95 6F 24 89 79 F3 EE
37 21 E6 54 1F 3B 8D 62
result written to file 3DES.key.unwrapped
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
**-h**
Zeigt Hilfe für den Befehl an.
Erforderlich: Ja
**-m**
Gibt den Modus an. Um den Dateiinhalt zu verpacken (verschlüsseln), geben Sie `1` ein. Um den Dateiinhalt zu entpacken (entschlüsseln), geben Sie `0` ein.
Erforderlich: Ja
**-f**
Gibt die zu verpackende Datei an. Geben Sie eine Datei ein, die weniger als 4 KB (4096 Byte) Daten enthält. Diese Operation wurde entwickelt, um Verschlüsselungsschlüssel ein- und auszupacken.
Erforderlich: Ja
**-w**
Gibt den Wrapping-Schlüssel an. Geben Sie das Schlüssel-Handle eines AES-Schlüssels auf dem HSM ein. Dieser Parameter muss angegeben werden. Verwenden Sie den [findKey](key_mgmt_util-findKey.md)-Befehl, um Schlüssel-Handles zu finden.
Um einen Wrapping-Schlüssel zu erstellen, verwenden Sie, [genSymKey](key_mgmt_util-genSymKey.md)um einen AES-Schlüssel zu generieren (Typ 31).
Erforderlich: Ja
**-i**
Gibt einen alternativen Initialwert (IV) für den Algorithmus an. Verwenden Sie den Standardwert, es sei denn, es gibt eine spezielle Bedingung, die eine Alternative erfordert.
Standard: `0xA6A6A6A6A6A6A6A6`. Der Standardwert ist in der Spezifikation des [AES Key Wrap](https://tools.ietf.org/html/rfc3394)-Algorithmus definiert.
Erforderlich: Nein
**-out**
Gibt einen alternativen Namen für die Ausgabedatei an, die den verpackten oder entpackten Schlüssel enthält. Die Voreinstellung ist `wrapped_key` (für Wrap-Operationen) und `unwrapped_key` (für Unwrap-Operationen) im lokalen Verzeichnis.
Wenn die Datei vorhanden ist, wird diese ohne Warnung von **aesWrapUnwrap** überschrieben. Wenn der Befehl fehlschlägt, erstellt **aesWrapUnwrap** eine Ausgabedatei ohne Inhalt.
Voreinstellung: Für Verpacken: `wrapped_key`. Zum Entpacken: `unwrapped_key`.
Erforderlich: Nein
## Verwandte Themen
+ [exSymKey](key_mgmt_util-exSymKey.md)
+ [imSymKey](key_mgmt_util-imSymKey.md)
+ [unWrapKey](key_mgmt_util-unwrapKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
# Löschen Sie einen AWS CloudHSM Schlüssel mit KMU
Verwenden Sie den **deleteKey** Befehl in AWS CloudHSM key\$1mgmt\$1util, um einen Schlüssel aus dem Hardware-Sicherheitsmodul (HSM) in einem Cluster zu löschen. AWS CloudHSM Sie können nur jeweils einen Schlüssel löschen. Das Löschen eines Schlüssels in einem Schlüsselpaar hat keine Auswirkungen auf den anderen Schlüssel in diesem Paar.
Nur der Schlüsselbesitzer kann einen Schlüssel löschen. Benutzer, für die der Schlüssel freigegeben ist, können ihn in kryptografischen Vorgängen verwenden, aber nicht löschen.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
deleteKey -h
deleteKey -k
```
## Beispiele
Diese Beispiele zeigen, wie Sie Schlüssel aus Ihrem löschen können. **deleteKey** HSMs
**Example : Löschen eines Schlüssels**
Dieser Befehl löscht den Schlüssel mit dem Schlüssel-Handle `6`. Wenn der Befehl erfolgreich ist, gibt **deleteKey** eine Erfolgsmeldung von jedem HSM im Cluster zurück.
```
Command: deleteKey -k 6
Cfm3DeleteKey returned: 0x00 : HSM Return: SUCCESS
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
```
**Example : Löschen eines Schlüssels (Fehler)**
Wenn der Befehl fehlschlägt, da kein Schlüssel über das angegebenen Schlüssel-Handle verfügt, gibt **deleteKey** eine Fehlermeldung aufgrund eines ungültigen Objekt-Handles zurück.
```
Command: deleteKey -k 252126
Cfm3FindKey returned: 0xa8 : HSM Error: Invalid object handle is passed to this operation
Cluster Error Status
Node id 1 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation
Node id 2 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation
```
Wenn der Befehl fehlschlägt, da der aktuelle Benutzer nicht der Eigentümer des Schlüssels ist, gibt der Befehl eine „Zugriff verweigert'-Fehlermeldung zurück.
```
Command: deleteKey -k 262152
Cfm3DeleteKey returned: 0xc6 : HSM Error: Key Access is denied.
```
## Parameters
**-h**
Zeigt die Befehlszeilenhilfe für den Befehl an.
Erforderlich: Ja
**-k**
Gibt das Schlüssel-Handle des zu löschenden Schlüssels an. Um die Schlüssel-Handles der Schlüssel im HSM zu finden, verwenden Sie [findKey](key_mgmt_util-findKey.md).
Erforderlich: Ja
## Verwandte Themen
+ [findKey](key_mgmt_util-findKey.md)
# Beschreiben Sie einen AWS CloudHSM Fehler mit KMU
Verwenden Sie den **Error2String** Hilfsbefehl in key\$1mgmt\$1util, um den Fehler zurückzugeben, der einem AWS CloudHSM hexadezimalen Key\$1mgmt\$1util-Fehlercode entspricht. Verwenden Sie diesen Befehl bei der Fehlerbehebung von Befehlen und Skripten.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
Error2String -h
Error2String -r
```
## Beispiele
Diese Beispiele zeigen, wie Sie mit **Error2String** den Fehlerstring für einen key\$1mgmt\$1util-Fehlercode abrufen können.
**Example ; Anfordern einer Fehlerbeschreibung**
Dieser Befehl ruft die Fehlerbeschreibung für den `0xdb`-Fehlercode auf. Die Beschreibung erklärt, dass ein Anmeldeversuch bei key\$1mgmt\$1util fehlgeschlagen ist, da der Benutzer nicht über den richtigen Benutzertypen verfügt. Nur Crypto-Benutzer (CU) können sich bei key\$1mgmt\$1util anmelden.
```
Command: Error2String -r 0xdb
Error Code db maps to HSM Error: Invalid User Type.
```
**Example : Finden des Fehlercodes**
Dieses Beispiel zeigt, wo der Fehlercode in einem key\$1mgmt\$1util-Fehler gefunden werden kann. Der Fehlercode `0xc6` wird nach der Zeichenfolge angezeigt: `Cfm3 returned: `.
[getKeyInfo](key_mgmt_util-getKeyInfo.md)Zeigt in diesem Beispiel an, dass der aktuelle Benutzer (Benutzer 4) den Schlüssel für kryptografische Operationen verwenden kann. Wenn der Benutzer jedoch [deleteKey](key_mgmt_util-deleteKey.md) verwendet, um den Schlüssel zu löschen, gibt der Befehl den Fehlercode `0xc6` zurück.
```
Command: deleteKey -k 262162
Cfm3DeleteKey returned: <0xc6> : HSM Error: Key Access is denied
Cluster Error Status
Command: getKeyInfo -k 262162
Cfm3GetKey returned: 0x00 : HSM Return: SUCCESS
Owned by user 3
also, shared to following 1 user(s):
4
```
Wen Ihnen der Fehler `0xc6` zurückgegeben wird, können Sie einen **Error2String**-Befehl wie diesen verwenden, um den Fehler nachzuschlagen. In diesem Fall schlug der Befehl `deleteKey` aufgrund eines „Zugriff verweigert“-Fehlers fehl, da der Schlüssel für den aktuellen Benutzer freigegeben wurde, der Eigentümer aber ein anderer Benutzer ist. Nur die Eigentümer eines Schlüssels haben die Berechtigung, einen Schlüssel zu löschen.
```
Command: Error2String -r 0xa8
Error Code c6 maps to HSM Error: Key Access is denied
```
## Parameters
**-h**
Zeigt Hilfe für den Befehl an.
Erforderlich: Ja
**-r**
Gibt einen hexadezimalen Fehlercode an. Die hexadezimalen Anzeige `0x` ist erforderlich.
Erforderlich: Ja
# Verlassen Sie die AWS CloudHSM KMU
Verwenden Sie den **exit** Befehl in AWS CloudHSM key\$1mgmt\$1util, um key\$1mgmt\$1util zu beenden. Nach erfolgreicher Beendigung kehren Sie zur Standard-Befehlszeile zurück.
Bevor Sie den Befehl key\$1mgmt\$1util ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start).
## Syntax
```
exit
```
## Parameters
Für diesen Befehl gibt es keine Parameter.
## Verwandte Themen
+ [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start)
# Exportieren eines privaten AWS CloudHSM Schlüssels mit KMU
Verwenden Sie den **exportPrivateKey** Befehl in AWS CloudHSM key\$1mgmt\$1util, um einen asymmetrischen privaten Schlüssel aus einem Hardware-Sicherheitsmodul (HSM) in eine Datei zu exportieren. Das HSM erlaubt keinen direkten Export von Schlüsseln im Klartext. Der Befehl umschließt den privaten Schlüssel mit einem von Ihnen angegebenen AES-Wrapping-Schlüssel, entschlüsselt die umschlossenen Bytes und kopiert den privaten Klartext-Schlüssel in eine Datei.
Der **exportPrivateKey**-Befehl entfernt den Schlüssel nicht aus dem HSM, ändert nicht seine [Schlüsselattribute](key-attribute-table.md) und hindert Sie nicht daran, den Schlüssel für weitere kryptografische Operationen zu verwenden. Sie können den gleichen Schlüssel mehrmals exportieren.
Sie können nur private Schlüssel exportieren, die den `OBJ_ATTR_EXTRACTABLE`-Attributwert `1` haben. Sie müssen einen AES-Wrapping-Schlüssel angeben, der `OBJ_ATTR_WRAP`- und `OBJ_ATTR_DECRYPT`-Attributwerte `1` hat. Mit dem Befehl [**getAttribute**](key_mgmt_util-getAttribute.md) können Sie nach den Attributen eines Schlüssels suchen.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
exportPrivateKey -h
exportPrivateKey -k
-w
-out
[-m ]
[-wk ]
```
## Beispiele
In diesem Beispiel wird gezeigt, wie Sie mit **exportPrivateKey** einen privaten Schlüssel aus einem HSM exportieren.
**Example : Exportieren eines privaten Schlüssels**
Dieser Befehl exportiert einen privaten Schlüssel mit dem Handle `15` anhand eines Verpackungsschlüssels mit dem Handle `16` in eine PEM-Datei mit dem Namen `exportKey.pem`. Wird der Befehl erfolgreich ausgeführt, gibt **exportPrivateKey** eine Erfolgsmeldung zurück.
```
Command: exportPrivateKey -k 15 -w 16 -out exportKey.pem
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
PEM formatted private key is written to exportKey.pem
```
## Parameters
Dieser Befehl erfordert die folgenden Parameter.
**`-h`**
Zeigt die Befehlszeilenhilfe für den Befehl an.
Erforderlich: Ja
**`-k`**
Gibt das Schlüssel-Handle des zu exportierenden privaten Schlüssels an.
Erforderlich: Ja
**`-w`**
Gibt das Schlüssel-Handle des Verpackungsschlüssels an. Dieser Parameter muss angegeben werden. Nutzen Sie den Befehl [**findKey**](key_mgmt_util-findKey.md), um Schlüssel-Handles zu suchen.
Ermitteln Sie mithilfe von [**getAttribute**](key_mgmt_util-getAttribute.md) den Wert des `OBJ_ATTR_WRAP`-Attributs (262), um zu bestimmen, ob ein Schlüssel als Verpackungsschlüssel verwendet werden kann. Um einen Wrapping-Schlüssel zu erstellen verwenden Sie [**genSymKey**](key_mgmt_util-genSymKey.md), um einen AES-Schlüssel (Typ 31) zu generieren.
Wenn Sie den Parameter `-wk` zum Angeben eines externen Entpackungsschlüssels verwenden, wird der `-w`-Verpackungsschlüssel während des Exports zum Verpacken, nicht aber zum Entpacken des Schlüssels verwendet.
Erforderlich: Ja
**`-out`**
Gibt den Namen der Datei an, in die der exportierte private Schlüssel geschrieben werden soll.
Erforderlich: Ja
**`-m`**
Gibt den Verpackungsmechanismus an, mit dem der zu exportierende private Schlüssel verpackt werden soll. Der einzige gültige Wert ist `4`. Dieser repräsentiert den `NIST_AES_WRAP mechanism.`-Mechanismus.
Standard: 4 (`NIST_AES_WRAP`)
Erforderlich: Nein
**`-wk`**
Gibt den Schlüssel an, mit dem der zu exportierende Schlüssel entpackt werden soll. Geben Sie den Pfad und den Namen einer Datei an, die einen Klartext-AES-Schlüssel enthält.
Wenn Sie diesen Parameter einschließen, verwendet **exportPrivateKey** den Schlüssel in der `-w`-Datei, um den zu exportierenden Schlüssel zu verpacken. Zum Entpacken wird der über den `-wk`-Parameter angegebene Schlüssel verwendet.
Standard: Verwenden Sie den im `-w`-Parameter angegeben Verpackungsschlüssel für das Verpacken und Entpacken von Schlüsseln.
Erforderlich: Nein
## Verwandte Themen
+ [importPrivateKey](key_mgmt_util-importPrivateKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
+ [unWrapKey](key_mgmt_util-unwrapKey.md)
+ [genSymKey](key_mgmt_util-genSymKey.md)
# Exportieren eines öffentlichen AWS CloudHSM Schlüssels mit KMU
Verwenden Sie den **exportPubKey** Befehl in AWS CloudHSM key\$1mgmt\$1util, um einen öffentlichen Schlüssel in einem HSM in eine Datei zu exportieren. Sie können ihn verwenden, um öffentliche Schlüssel zu exportieren, die Sie in einem HSM erstellt haben. Mit diesem Befehl ist auch das Exportieren öffentlicher Schlüssel möglich, die in ein HSM importiert wurden. Dies betrifft z. B. jene Schlüssel, deren Import über den Befehl **[**importPubKey**](key_mgmt_util-importPubKey.md)** erfolgt ist.
Die Operation **exportPubKey** kopiert das Schlüsselmaterial in eine von Ihnen angegebene Datei. Der Befehl entfernt jedoch den Schlüssel nicht aus dem HSM oder ändert dessen [Schlüsselattribute](key-attribute-table.md). Auch hindert Sie der Befehl nicht daran, den Schlüssel in weiteren kryptografischen Operationen zu verwenden. Sie können den gleichen Schlüssel mehrmals exportieren.
Sie können nur öffentliche Schlüssel exportieren, deren `OBJ_ATTR_EXTRACTABLE`-Wert auf `1` gesetzt ist. Mit dem Befehl **[getAttribute](key_mgmt_util-getAttribute.md)** können Sie nach den Attributen eines Schlüssels suchen.
Vor dem Ausführen eines `key_mgmt_util`-Befehls müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich beim HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
exportPubKey -h
exportPubKey -k
-out
```
## Beispiele
In diesem Beispiel wird gezeigt, wie Sie mit **exportPubKey** einen öffentlichen Schlüssel aus einem HSM exportieren.
**Example : Exportieren eines öffentlichen Schlüssels**
Mit diesem Befehl wird ein öffentlicher Schlüssel mit dem Handle `10` in eine Datei namens `public.pem` exportiert. Wird der Befehl erfolgreich ausgeführt, gibt **exportPubKey** eine Erfolgsmeldung zurück.
```
Command: exportPubKey -k 10 -out public.pem
PEM formatted public key is written to public.pem
Cfm3ExportPubKey returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
Dieser Befehl erfordert die folgenden Parameter.
**`-h`**
Zeigt die Befehlszeilenhilfe für den Befehl an.
Erforderlich: Ja
**`-k`**
Gibt das Schlüssel-Handle des zu exportierenden öffentlichen Schlüssels an.
Erforderlich: Ja
**`-out`**
Gibt den Namen der Datei an, in die der exportierte öffentliche Schlüssel geschrieben werden soll.
Erforderlich: Ja
## Verwandte Themen
+ [importPubKey](key_mgmt_util-importPubKey.md)
+ [Generieren von Schlüsseln](generate-keys.md)
# Exportieren Sie eine Klartextkopie eines AWS CloudHSM Schlüssels mit KMU
Verwenden Sie den **exSymKey** Befehl im Tool AWS CloudHSM key\$1mgmt\$1util, um eine Klartextkopie eines symmetrischen Schlüssels aus dem Hardware-Sicherheitsmodul (HSM) zu exportieren und in einer Datei auf der Festplatte zu speichern. Um eine verschlüsselte (verpackte) Kopie eines Schlüssels zu exportieren, verwenden Sie [wrapKey](key_mgmt_util-wrapKey.md). Um einen Klartext-Schlüssel zu importieren, wie z. B. Schlüssel, der exportiert wird, verwenden Sie. `exSymKey` [imSymKey](key_mgmt_util-imSymKey.md)
Während des Exportvorgangs verwendet **exSymKey** einen AES-Schlüssel, den Sie angeben (der *wrapping key (Verpackungsschlüssel)*), um den zu exportierenden Schlüssel zu *packen* (verschlüsseln) und anschließend zu *entpacken* (entschlüsseln). Das Ergebnis des Exportvorgangs ist jedoch ein Klartextschlüssel (*entpackter Schlüssel*) auf einem Datenträger.
Nur der Eigentümer eines Schlüssels, d. h., der CU-Benutzer, der den Schlüssel erstellt hat, kann ihn exportieren. Benutzer, für die der Schlüssel freigegeben ist, können ihn in kryptografischen Vorgängen verwenden, können ihn aber nicht exportieren.
Der Vorgang **exSymKey** kopiert die Schlüsselinformationen in eine Datei, die Sie angeben, entfernt den Schlüssel jedoch nicht aus dem HSM, ändert seine [key attributes (Schlüsselattribute)](key-attribute-table.md) nicht oder verhindert, dass Sie den Schlüssel in kryptografischen Vorgänge verwenden. Sie können den gleichen Schlüssel mehrmals exportieren.
**exSymKey** exportiert nur symmetrische Schlüssel. Zum Exportieren von öffentlichen Schlüsseln verwenden Sie [exportPubKey](key_mgmt_util-exportPubKey.md). Zum Exportieren von privaten Schlüsseln verwenden Sie [exportPrivateKey](key_mgmt_util-exportPrivateKey.md).
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
exSymKey -h
exSymKey -k
-w
-out
[-m 4]
[-wk ]
```
## Beispiele
Diese Beispiele zeigen, wie Sie symmetrische Schlüssel**exSymKey**, die Sie besitzen, aus Ihrem exportieren können. HSMs
**Example : Exportieren eines symmetrischen 3DES-Schlüssels**
Mit diesem Befehl wird ein symmetrischer Triple DES (3DES)-Schlüssel exportiert (Schlüssel-Handle `7`). Er verwendet einen vorhandenen AES-Schlüssel (Schlüssel-Handle `6`) im HSM als Verpackungsschlüssel. Anschließend wird der Klartext des 3DES-Schlüssels in die Datei `3DES.key` geschrieben.
Die Ausgabe zeigt, dass der Schlüssel `7` (der 3DES-Schlüssel) erfolgreich verpackt und entpackt und anschließend in die angegebene Datei `3DES.key` geschrieben wurde.
Obwohl die Ausgabe besagt, dass ein „verpackter symmetrischer Schlüssel“ in die Ausgabedatei geschrieben wurden, enthält die Ausgabedatei einen (entpackten) Klartextschlüssel.
```
Command: exSymKey -k 7 -w 6 -out 3DES.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "3DES.key"
```
**Example : Exportieren mit einem nur für die aktuelle Sitzung gültigen Verpackungsschlüssel**
Das folgende Beispiel zeigt, wie Sie einen Schlüssel verwenden, der nur in dieser Sitzung als Verpackungsschlüssel vorhanden ist. Da der zu exportierende Schlüssel verpackt ist, anschließend sofort entpackt und als Klartext bereitgestellt wird, ist es nicht nötig, den Verpackungsschlüssel aufzubewahren.
Anhand dieser Befehle wird ein AES-Schlüssel mit der Schlüssel-Handle `8` aus dem HSM exportiert. Dabei wird ein AES-Sitzungsschlüssel verwendet, der speziell zu diesem Zweck erstellt wurde.
Der erste Befehl dient [genSymKey](key_mgmt_util-genSymKey.md)zur Erstellung eines 256-Bit-AES-Schlüssels. Dabei wird der `-sess`-Parameter zum Erstellen eines Schlüssels verwendet, der nur in der aktuellen Sitzung vorhanden ist.
Die Ausgabe zeigt, dass das HSM den Schlüssel `262168` erstellt.
```
Command: genSymKey -t 31 -s 32 -l AES-wrapping-key -sess
Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS
Symmetric Key Created. Key Handle: 262168
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
```
Als Nächstes wird im Beispiel sichergestellt, dass es sich bei dem Schlüssel `8`, dem zu exportierenden Schlüssel, um einen symmetrischen Schlüssel handelt, der extrahierbar ist. Außerdem wird überprüft, ob der Verpackungsschlüssel, der Schlüssel `262168`, ein AES-Schlüssel ist, der nur in dieser Sitzung vorhanden ist. Sie können den Befehl [findKey](key_mgmt_util-findKey.md) verwenden, aber in diesem Beispiel werden die Attribute beider Schlüssel in Dateien exportiert und anschließend `grep` verwendet, um die relevanten Attributwerte in der Datei zu finden.
Diese Befehle verwenden `getAttribute` mit einem `-a` Wert von `512` (alle), um alle Attribute für die Schlüssel `8` und `262168` aufzurufen. Weitere Informationen zu den Schlüsselattributen finden Sie unter [AWS CloudHSM Referenz zu Schlüsselattributen für KMU](key-attribute-table.md).
```
getAttribute -o 8 -a 512 -out attributes/attr_8
getAttribute -o 262168 -a 512 -out attributes/attr_262168
```
Diese Befehle verwenden `grep`, um die Attribute des zu exportierenden Schlüssels (Schlüssel `8`) und des nur für die aktuelle Sitzung gültigen Verpackungsschlüssels (Schlüssel `262168`) zu überprüfen.
```
// Verify that the key to be exported is a symmetric key.
$ grep -A 1 "OBJ_ATTR_CLASS" attributes/attr_8
OBJ_ATTR_CLASS
0x04
// Verify that the key to be exported is extractable.
$ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_8
OBJ_ATTR_EXTRACTABLE
0x00000001
// Verify that the wrapping key is an AES key
$ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_262168
OBJ_ATTR_KEY_TYPE
0x1f
// Verify that the wrapping key is a session key
$ grep -A 1 "OBJ_ATTR_TOKEN" attributes/attr_262168
OBJ_ATTR_TOKEN
0x00
// Verify that the wrapping key can be used for wrapping
$ grep -A 1 "OBJ_ATTR_WRAP" attributes/attr_262168
OBJ_ATTR_WRAP
0x00000001
```
Schließlich verwenden wir den Befehl **exSymKey**, um den Schlüssel `8` mithilfe des Sitzungsschlüssels (Schlüssel `262168`) als Verpackungsschlüssel zu exportieren.
Wenn die Sitzung beendet wird, wird der Schlüssel `262168` nicht länger vorhanden sein.
```
Command: exSymKey -k 8 -w 262168 -out aes256_H8.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "aes256_H8.key"
```
**Example : Verwenden eines externen Entpackungsschlüssels**
Das folgende Beispiel zeigt, wie Sie mit einem externen Entpackungsschlüssel einen Schlüssel aus dem HSM exportieren.
Wenn Sie einen Schlüssel aus dem HSM exportieren, geben Sie einen AES-Schlüssel im HSM als Verpackungsschlüssel an. Standardmäßig wird dieser Schlüssel dazu verwendet, den zu exportierenden Schlüssel zu verpacken und zu entpacken. Sie können jedoch mithilfe des `-wk`-Parameters **exSymKey** anweisen, zum Entpacken einen externen Schlüssel in einer Datei auf einem Datenträger zu verwenden. Wenn Sie sich dafür entscheiden, verpackt der vom `-w`-Parameter angegebene Schlüssel den Ziel-Schlüssel, und der Schlüssel, der sich in der vom `-wk`-Parameter angegebenen Datei befindet, entpackt den Schlüssel.
Da der Verpackungsschlüssel ein AES-Schlüssel sein muss, und dieser symmetrisch ist, müssen der Verpackungsschlüssel im HSM und der Entpackungsschlüssel auf dem Datenträger über die gleichen Schlüsselinformationen verfügen. Hierzu müssen Sie vor dem Exportvorgang den Verpackungsschlüssel in das HSM importieren oder den Verpackungsschlüssel aus dem HSM exportieren.
In diesem Beispiel wird ein Schlüssel außerhalb des HSM erstellt und in das HSM importiert. Dabei wird eine interne Kopie des Schlüssels verwendet, um den zu exportierenden symmetrischen Schlüssel zu verpacken, und anschließend die Kopie des Schlüssels in der Datei dazu benutzt, um ihn zu entpacken.
Der erste Befehl verwendet OpenSSL, um einen 256-Bit-AES-Schlüssel zu generieren. Der Schlüssel wird in der Datei `aes256-forImport.key` gespeichert. Der OpenSSL-Befehl gibt keine Ausgabe zurück, jedoch können Sie mehrere Befehle verwenden, um zu überprüfen, ob der Vorgang erfolgreich war. In diesem Beispiel wird das Tool **wc** (Wortzählung) verwendet, das bestätigt, dass die Datei 32 Byte an Daten enthält.
```
$ openssl rand -out keys/aes256-forImport.key 32
$ wc keys/aes256-forImport.key
0 2 32 keys/aes256-forImport.key
```
Dieser Befehl verwendet den Befehl [imSymKey](key_mgmt_util-imSymKey.md), um den AES-Schlüssel aus der Datei `aes256-forImport.key` in das HSM zu importieren. Wenn der Befehl abgeschlossen ist, ist der Schlüssel im HSM mit dem Schlüssel-Handle `262167` und in der Datei `aes256-forImport.key` vorhanden.
```
Command: imSymKey -f keys/aes256-forImport.key -t 31 -l aes256-imported -w 6
Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS
Cfm3CreateUnwrapTemplate returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapKey returned: 0x00 : HSM Return: SUCCESS
Symmetric Key Unwrapped. Key Handle: 262167
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
```
Dieser Befehl verwendet den Schlüssel in einem Exportvorgang. Der Befehl verwendet **exSymKey**, um den Schlüssel `21`, ein 192-Bit-AES-Schlüssel, zu exportieren. Um den Schlüssel zu verpacken, wird der Schlüssel `262167` verwendet. Dabei handelt es sich um die Kopie des Schlüssels, die in das HSM importiert wurde. Um den Schlüssel zu entpacken, werden die gleichen Schlüsselinformationen in der Datei `aes256-forImport.key` verwendet. Nach der Ausführung des Befehls wird der Schlüssel `21` in die Datei `aes192_h21.key` exportiert.
```
Command: exSymKey -k 21 -w 262167 -out aes192_H21.key -wk aes256-forImport.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "aes192_H21.key"
```
## Parameters
**-h**
Zeigt Hilfe für den Befehl an.
Erforderlich: Ja
**-k**
Gibt das Schlüssel-Handle des zu exportierenden Schlüssels an. Dieser Parameter muss angegeben werden. Geben Sie das Schlüssel-Handle eines symmetrischen Schlüssels ein, dessen Eigentümer Sie sind. Dieser Parameter muss angegeben werden. Verwenden Sie den [findKey](key_mgmt_util-findKey.md)-Befehl, um Schlüssel-Handles zu finden.
Verwenden Sie den Befehl [getAttribute](key_mgmt_util-getAttribute.md), um sicherzustellen, dass ein Schlüssel exportiert werden kann, und um den Wert des Attributs `OBJ_ATTR_EXTRACTABLE` abzurufen, der von der Konstanten `354` dargestellt wird. Zudem können Sie nur Schlüssel exportieren, deren Eigentümer Sie sind. Verwenden Sie den [getKeyInfo](key_mgmt_util-getKeyInfo.md)Befehl, um den Besitzer eines Schlüssels zu ermitteln.
Erforderlich: Ja
**-w**
Gibt das Schlüssel-Handle des Verpackungsschlüssels an. Dieser Parameter muss angegeben werden. Verwenden Sie den [findKey](key_mgmt_util-findKey.md)-Befehl, um Schlüssel-Handles zu finden.
Ein *Verpackungsschlüssel* ist ein Schlüssel im HSM, der zum Verschlüsseln (Verpacken) und zum anschließenden Entschlüsseln (Entpacken) des zu exportierenden Schlüssels verwendet wird. Nur AES-Schlüssel können als Verpackungsschlüssel verwendet werden.
Sie können jeden AES-Schlüssel (in jeder beliebigen Größe) als Verpackungsschlüssel verwenden. Da der Verpackungsschlüssel den Zielschlüssel verpackt und danach sofort entpackt, können Sie einen nur für die aktuelle Sitzung gültigen AES-Schlüssel als Verpackungsschlüssel verwenden. Verwenden Sie [getAttribute](key_mgmt_util-getAttribute.md), um zu überprüfen, ob ein Schlüssel als Verpackungsschlüssel verwendet werden kann, und um den Wert des `OBJ_ATTR_WRAP`-Attributs abzurufen, der von der Konstanten `262` dargestellt wird. Um einen Wrapping-Schlüssel zu erstellen, verwenden Sie [genSymKey](key_mgmt_util-genSymKey.md), um einen AES-Schlüssel (Typ 31) zu generieren.
Wenn Sie den Parameter `-wk` zum Angeben eines externen Entschlüsselungsschlüssels verwenden, wird der `-w`-Schlüssel während des Exportvorgangs zum Verpacken, aber nicht zum Entpacken des Schlüssels verwendet.
Schlüssel 4 stellt einen nicht unterstützten internen Schlüssel dar. Wir empfehlen, dass Sie einen AES-Schlüssel als Umhüllungsschlüssel verwenden, den Sie erstellen und verwalten.
Erforderlich: Ja
**-out**
Gibt den Pfad und Namen der Ausgabedatei an. Wenn der Befehl erfolgreich ist, enthält diese Datei den exportierten Schlüssel als Klartext. Wenn die Datei bereits vorhanden ist, überschreibt der Befehl sie ohne Warnung.
Erforderlich: Ja
**-m**
Gibt den Verpackungsmechanismus an. Der einzige gültige Wert ist `4`, der den `NIST_AES_WRAP`-Mechanismus darstellt.
Erforderlich: Nein
Standard: 4
**-wk**
Verwenden Sie den AES-Schlüssel in der angegebenen Datei, um den Schlüssel, der exportiert wird, zu entpacken. Geben Sie den Pfad und den Namen einer Datei an, die einen Klartext-AES-Schlüssel enthält.
Wenn Sie diesen Parameter angeben, verwendet `exSymKey` den Schlüssel im HSM, der durch den `-w`-Parameter angegeben wird, um den zu exportierenden Schlüssel zu verpacken, und verwendet den Schlüssel in der `-wk`-Datei, um ihn zu entpacken. Die Parameterwerte `-w` und `-wk` müssen durch denselben Klartextschlüssel aufgelöst werden.
Erforderlich: Nein
Standard: Verwenden Sie den Verpackungsschlüssel auf dem HSM zum Entpacken.
## Verwandte Themen
+ [genSymKey](key_mgmt_util-genSymKey.md)
+ [imSymKey](key_mgmt_util-imSymKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
# Extrahieren Sie einen AWS CloudHSM Schlüssel mit KMU
Verwenden Sie den **extractMaskedObject** Befehl in AWS CloudHSM key\$1mgmt\$1util, um einen Schlüssel aus einem Hardware-Sicherheitsmodul (HSM) zu extrahieren und ihn als maskiertes Objekt in einer Datei zu speichern. Maskierte Objekte sind *geklonte* Objekte, die nur verwendet werden können, nachdem sie anhand des Befehls **[insertMaskedObject](key_mgmt_util-insertMaskedObject.md)** wieder in den ursprünglichen Cluster eingefügt wurden. Sie können ein maskiertes Objekt nur in den Cluster einfügen, aus dem es erstellt wurde (oder in eine geklonte Version dieses Clusters). Dies umfasst alle geklonten Clusterversionen, die durch eine [regionsübergreifende Sicherungskopie](copy-backup-to-region.md) und die anschließende [Verwendung dieser Sicherung zum Erstellen eines neuen Clusters](create-cluster-from-backup.md) generiert wurden.
Maskierte Objekte sind eine effiziente Möglichkeit zum Auslagern und Synchronisieren von Schlüsseln, auch von nicht extrahierbaren Schlüsseln (d. h. Schlüssel mit einem [`OBJ_ATTR_EXTRACTABLE`](key-attribute-table.md)-Wert von `0`). [Auf diese Weise können Schlüssel sicher zwischen verwandten Clustern in verschiedenen Regionen synchronisiert werden, ohne dass die Konfigurationsdatei aktualisiert werden muss. AWS CloudHSM](configure-tool.md)
**Wichtig**
Nach dem Einfügen werden maskierte Objekte entschlüsselt und mit einem Schlüssel-Handle versehen, das sich vom Schlüssel-Handle des ursprünglichen Schlüssels unterscheidet. Ein maskiertes Objekt enthält alle dem ursprünglichen Schlüssel zugeordneten Metadaten, einschließlich Attributen, Eigentümerschaft, der gemeinsamen Nutzung von Informationen und Quorum-Einstellungen. Wenn Sie in einer Anwendung Schlüssel zwischen Clustern synchronisieren müssen, verwenden Sie stattdessen [syncKey](cloudhsm_mgmt_util-syncKey.md) im cloudhsm\$1mgmt\$1util.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) starten und sich beim [HSM](key_mgmt_util-log-in.md) anmelden. Der Befehl **extractMaskedObject** kann entweder vom CU, der den Schlüssel besitzt, oder von einem beliebigen CO genutzt werden.
## Syntax
```
extractMaskedObject -h
extractMaskedObject -o
-out
```
## Beispiele
In diesem Beispiel wird gezeigt, wie Sie **extractMaskedObject** verwenden, um einen Schlüssel als maskiertes Objekt aus einem HSM zu extrahieren.
**Example : Extrahieren eines maskierten Objekts**
Dieser Befehl extrahiert in einem HSM aus einem Schlüssel mit dem Handle `524295` ein maskiertes Objekt und speichert es als Datei mit dem Namen `maskedObj`. Wird der Befehl erfolgreich ausgeführt, gibt **extractMaskedObject** eine Erfolgsmeldung zurück.
```
Command: extractMaskedObject -o 524295 -out maskedObj
Object was masked and written to file "maskedObj"
Cfm3ExtractMaskedObject returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
Dieser Befehl erfordert die folgenden Parameter.
**`-h`**
Zeigt die Befehlszeilenhilfe für den Befehl an.
Erforderlich: Ja
**`-o`**
Gibt das Handle des Schlüssels an, der als maskiertes Objekt extrahiert werden soll.
Erforderlich: Ja
**`-out`**
Gibt den Namen der Datei an, in die das maskierte Objekt gespeichert werden soll.
Erforderlich: Ja
## Verwandte Themen
+ [insertMaskedObject](key_mgmt_util-insertMaskedObject.md)
+ [syncKey](cloudhsm_mgmt_util-syncKey.md)
+ [Regionsübergreifendes Kopieren einer Sicherung](copy-backup-to-region.md)
+ [Einen AWS CloudHSM Cluster aus einem vorherigen Backup erstellen](create-cluster-from-backup.md)
# Suchen Sie mithilfe von KMU nach AWS CloudHSM Schlüsseln anhand von Attributen
Verwenden Sie den **findKey** Befehl in AWS CloudHSM key\$1mgmt\$1util, um anhand der Werte der Schlüsselattribute nach Schlüsseln zu suchen. Wenn ein Schlüssel allen Kriterien entspricht, die Sie festlegen, gibt **findKey** das Schlüssel-Handle zurück. Ohne Parameter gibt **findKey** die Schlüssel-Handles aller Schlüssel zurück, die Sie im HSM verwenden können. Verwenden Sie für die Suche der Attributwerte eines bestimmten Schlüssels den Befehl [getAttribute](key_mgmt_util-getAttribute.md).
Wie alle key\$1mgmt\$1util-Befehle ist **findKey** benutzerspezifisch. Der Befehl gibt nur die Schlüssel zurück, die der aktuelle Benutzer in kryptografischen Operationen verwenden kann. Dies umfasst Schlüssel, die der aktuelle Benutzer besitzt und Schlüssel, die für ihn freigegeben wurden.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
findKey -h
findKey [-c ]
[-t ]
[-l ]
[-id ]
[-sess (0 | 1)]
[-u ]
[-m ]
[-kcv ]
```
## Beispiele
Diese Beispiele zeigen, wie Sie Schlüssel in Ihrem finden und **findKey** identifizieren können. HSMs
**Example : Suchen nach allen Schlüsseln**
Mit diesem Befehl werden alle Schlüssel für den aktuellen Benutzer im HSM gesucht. Die Ausgabe umfasst Schlüssel, die der Benutzer besitzt und teilt, sowie alle öffentlichen Schlüssel in der HSMs.
Verwenden Sie zum Abrufen der Attribute eines Schlüssels mit einem bestimmten Schlüssel-Handle den Befehl [getAttribute](key_mgmt_util-getAttribute.md). Um festzustellen, ob der aktuelle Benutzer einen bestimmten Schlüssel besitzt oder mit anderen teilt, verwenden Sie [getKeyInfo](key_mgmt_util-getKeyInfo.md)oder [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)in cloudhsm\$1mgmt\$1util.
```
Command: findKey
Total number of keys present 13
number of keys matched from start index 0::12
6, 7, 524296, 9, 262154, 262155, 262156, 262157, 262158, 262159, 262160, 262161, 262162
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
```
**Example : Suchen von Schlüsseln nach Typ, Benutzer und Sitzung**
Mit diesem Befehl werden persistente AES-Schlüssel gesucht, die vom aktuellen Benutzer und von Benutzer 3 verwendet werden können. (Benutzer 3 kann möglicherweise andere Schlüssel verwenden, die der aktuelle Benutzer nicht sehen kann.)
```
Command: findKey -t 31 -sess 0 -u 3
```
**Example : Suchen von Schlüsseln nach Klasse und Beschriftung**
Mit diesem Befehl werden alle öffentlichen Schlüssel für den aktuellen Benutzer mit der Beschriftung `2018-sept` gesucht.
```
Command: findKey -c 2 -l 2018-sept
```
**Example : Suchen von RSA-Schlüsseln nach Modulus**
Mit diesem Befehl können Sie RSA-Schlüssel (Typ 0) für den aktuellen Benutzer suchen, die mit dem Modulus in der Datei `m4.txt` erstellt wurden.
```
Command: findKey -t 0 -m m4.txt
```
## Parameters
**-h**
Zeigt Hilfe für den Befehl an.
Erforderlich: Ja
**-t**
Sucht Schlüssel des angegebenen Typs. Geben Sie die Konstante ein, die die Schlüsselklasse darstellt. Geben Sie beispielsweise `-t 21` ein, um 3DES-Schlüssel zu suchen.
Zulässige Werte:
+ 0: [RSA](https://en.wikipedia.org/wiki/RSA_(cryptosystem))
+ 1: [DSA](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm)
+ 3: [EC](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography)
+ 16: [GENERIC\$1SECRET](http://docs.oasis-open.org/pkcs11/pkcs11-curr/v2.40/cos01/pkcs11-curr-v2.40-cos01.html#_Toc408226962)
+ 18: [RC4](https://en.wikipedia.org/wiki/RC4)
+ 21: [Triple DES (3DES)](https://en.wikipedia.org/wiki/Triple_DES)
+ 31: [AES](https://en.wikipedia.org/wiki/Advanced_Encryption_Standard)
Erforderlich: Nein
**-c**
Sucht Schlüssel in der angegebenen Klasse. Geben Sie die Konstante ein, die die Schlüsselklasse darstellt. Geben Sie beispielsweise `-c 2` ein, um öffentliche Schlüssel zu suchen.
Gültige Werte für jeden Schlüsseltyp:
+ 2: Public. Diese Klasse enthält die öffentlichen Schlüssel der öffentlich-privaten Schlüsselpaare.
+ 3: Private. Diese Klasse enthält die privaten Schlüssel der öffentlich-privaten Schlüsselpaare.
+ 4: Secret. Diese Klasse enthält alle symmetrischen Schlüssel.
Erforderlich: Nein
**-l**
Sucht Schlüssel mit der angegebenen Beschriftung. Geben Sie die genaue Beschriftung ein. Sie können keine Platzhalter oder regulären Ausdrücke im Wert `--l` verwenden.
Erforderlich: Nein
**-id**
Sucht den Schlüssel mit der angegebenen ID. Geben Sie die genaue ID-Zeichenfolge ein. Sie können keine Platzhalter oder regulären Ausdrücke im Wert `-id` verwenden.
Erforderlich: Nein
**-sess**
Sucht Schlüssel nach Sitzungsstatus. Geben Sie für die Suche nach Schlüsseln, die nur in der aktuellen Sitzung gültig sind, `1` ein. Geben Sie für die Suche nach persistenten Schlüsseln `0` ein.
Erforderlich: Nein
**-u**
Sucht Schlüssel, die von den angegebenen Benutzern und dem aktuellen Benutzer gemeinsam verwendet werden. Geben Sie eine durch Kommas getrennte Liste von HSM-Benutzern ein IDs, z. B. oder. `-u 3` `-u 4,7` Verwenden Sie IDs [ListUsers](key_mgmt_util-listUsers.md), um die Benutzer auf einem HSM zu finden.
Wenn Sie eine Benutzer-ID angeben, gibt **findKey** den Schlüssel für diesen Benutzer zurück. Wenn Sie mehrere Benutzer angeben IDs, werden die Schlüssel **findKey** zurückgegeben, die alle angegebenen Benutzer verwenden können.
Da **findKey** nur Schlüssel zurückgibt, die der aktuelle Benutzer verwenden kann, sind die `-u`-Ergebnisse immer identisch oder eine Teilmenge der Schlüssel des aktuellen Benutzers. Um alle Schlüssel abzurufen, die einem Benutzer gehören oder mit diesem geteilt werden, können Crypto Officers (COs) [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)in cloudhsm\$1mgmt\$1util verwenden.
Erforderlich: Nein
**-m**
Sucht Schlüssel, die mit dem RSA-Modulus in der angegebenen Datei erstellt wurden. Geben Sie den Pfad zur Datei ein, in der der Modulus gespeichert ist.
-m gibt die Binärdatei an, die den RSA-Modul enthält, mit dem abgeglichen werden soll (optional).
Erforderlich: Nein
**-kcv**
Sucht Schlüssel mit dem angegebenen Schlüsselprüfwert.
Der *Schlüsselprüfwert* (KCV) ist ein 3-Byte-Hash oder eine Prüfsumme eines Schlüssels, der generiert wird, wenn das HSM einen Schlüssel importiert oder generiert. Sie können einen KCV auch außerhalb des HSM berechnen, z. B. nachdem Sie einen Schlüssel exportiert haben. Anschließend können Sie die KCVs vergleichen, um die Identität und Integrität des Schlüssels zu bestätigen. Um den KCV eines Schlüssels abzurufen, verwenden Sie [getAttribute](key_mgmt_util-getAttribute.md).
AWS CloudHSM verwendet die folgende Standardmethode, um einen Schlüsselprüfwert zu generieren:
+ **Symmetrische Schlüssel**: Die ersten 3 Byte des Ergebnisses der Verschlüsselung eines Nullblocks mit dem Schlüssel.
+ **Asymmetrische Schlüsselpaare**: Die ersten 3 Byte des SHA-1-Hashs des öffentlichen Schlüssels.
+ **HMAC-Schlüssel**: KCV für HMAC-Schlüssel wird derzeit nicht unterstützt.
Erforderlich: Nein
## Ausgabe
Die Ausgabe des Befehls **findKey** enthält die Gesamtanzahl der übereinstimmenden Schlüssel und ihrer Schlüssel-Handles.
```
Command: findKey
Total number of keys present 10
number of keys matched from start index 0::9
6, 7, 8, 9, 10, 11, 262156, 262157, 262158, 262159
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
```
## Verwandte Themen
+ [findSingleKey](key_mgmt_util-findSingleKey.md)
+ [getKeyInfo](key_mgmt_util-getKeyInfo.md)
+ [getAttribute](key_mgmt_util-getAttribute.md)
+ [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)in cloudhsm\$1mgmt\$1util
+ [Schlüsselattributreferenz](key-attribute-table.md)
# Verifizieren Sie einen AWS CloudHSM Schlüssel mit KMU
Verwenden Sie den **findSingleKey** Befehl im Tool AWS CloudHSM key\$1mgmt\$1util, um zu überprüfen, ob ein Schlüssel auf allen Hardware-Sicherheitsmodulen (HSM) im Cluster vorhanden ist. AWS CloudHSM
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
## Syntax
```
findSingleKey -h
findSingleKey -k
```
## Beispiel
**Example**
Mit diesem Befehl wird überprüft, ob der Schlüssel `252136` auf allen drei im Cluster vorhanden ist. HSMs
```
Command: findSingleKey -k 252136
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
Cluster Error Status
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
```
## Parameters
**-h**
Zeigt Hilfe für den Befehl an.
Erforderlich: Ja
**-k**
Gibt das Schlüssel-Handle eines Schlüssels im HSM an. Dieser Parameter muss angegeben werden.
Verwenden Sie den [findKey](key_mgmt_util-listUsers.md)-Befehl, um Schlüssel-Handles zu finden.
Erforderlich: Ja
## Verwandte Themen
+ [findKey](key_mgmt_util-listUsers.md)
+ [getKeyInfo](key_mgmt_util-listUsers.md)
+ [getAttribute](key_mgmt_util-findKey.md)
# Generieren Sie ein AWS CloudHSM DSA-Schlüsselpaar mit KMU
Verwenden Sie den **genDSAKeyPair** Befehl im Tool AWS CloudHSM key\$1mgmt\$1util, um ein DSA-Schlüsselpaar ([Digital Signing Algorithm](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm)) in Ihren Hardware-Sicherheitsmodulen (HSM) zu generieren. Sie müssen die Modullänge angeben, der Befehl generiert den Modulwert. Sie können auch eine ID zuweisen, den Schlüssel für andere HSM-Benutzer freigeben sowie nicht extrahierbare Schlüssel und Schlüssel, die bei Sitzungsende ablaufen, erstellen. Wenn der Befehl erfolgreich ausgeführt wurde, werden die *Schlüssel-Handles* zurückgegeben, die das HSM den öffentlichen und privaten ECC-Schlüsseln zuweist. Sie können die Schlüssel-Handles nutzen, damit die Schlüssel für andere Befehle identifizierbar sind.
Bevor Sie einen key\$1mgmt\$1util-Befehl ausführen, müssen Sie [key\$1mgmt\$1util starten](key_mgmt_util-setup.md#key_mgmt_util-start) und sich am HSM als Crypto-Benutzer (CU) [anmelden](key_mgmt_util-log-in.md).
**Tipp**
Um die Attribute eines von Ihnen erstellten Schlüssels wie Typ, Länge, Bezeichnung und ID zu finden, verwenden Sie [getAttribute](key_mgmt_util-getAttribute.md). Um die Schlüssel für einen bestimmten Benutzer zu finden, verwenden Sie. [getKeyInfo](key_mgmt_util-getKeyInfo.md) Verwenden Sie [findKey](key_mgmt_util-findKey.md), um Schlüssel anhand ihrer Attributwerte zu finden.
## Syntax
```
genDSAKeyPair -h
genDSAKeyPair -m
-l