Administración y uso de claves con autenticación de quórum habilitada para AWS CloudHSM mediante la CLI de CloudHSM

Inicie la CLI de CloudHSM.

Inicie sesión en el clúster como usuario de criptografía.

aws-cloudhsm > login --username <crypto_user1> --role crypto-user --password password123

En este ejemplo, crypto_user1 inicia sesión en la CLI de CloudHSM con el rol crypto-user. Reemplace estos valores por los suyos.

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

Genere un token de quórum mediante el comando quorum token-sign generate.

En el siguiente comando, key-usage identifica el nombre del servicio en el que utilizará el token que está en proceso de generar. En este caso, el token es para operaciones de uso de claves (servicio de key-usage). En este ejemplo, se utiliza la marca --filter para asociar el token a una clave específica.

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

En este ejemplo, se obtiene un token de quórum para el usuario de criptografía con el nombre de usuario crypto_user1 y guarda el token en un archivo denominado crypto_user1.token. Para utilizar el comando de ejemplo, sustituya estos valores por los suyos:

El comando quorum token-sign generate genera un token de quórum del servicio de uso de claves en la ruta de archivo especificada. Puede inspeccionar el archivo del token:

$ cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

El archivo del token consta de lo siguiente:

Valide el token de quórum del nuevo servicio de usuario. El comando quorum token-sign list confirma que el token existe en CloudHSM.

aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

El minimum-token-count presenta una vista agregada del clúster del número mínimo utilizable de tokens de clave correspondientes al nombre de usuario, el servicio y la referencia de clave, que se recuperan desde un único HSM del clúster.

Por ejemplo, si se asume un clúster de 2 HSM y se reciben dos (2) tokens de uso de clave generados por el usuario crypto_user1 para la clave con referencia 0x0000000000680006 desde el primer HSM del clúster, y se recibe un (1) token de uso de clave generado por el usuario crypto_user1 para la clave con referencia 0x0000000000680006 desde el otro HSM del clúster, se mostrará el "minimum-token-count": 1.

Decodifique el token sin firmar codificado en base64 e introdúzcalo en un archivo binario:

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

Utilice OpenSSL y la clave privada del aprobador para firmar el token binario de quórum sin firmar del servicio de usuario y crear un archivo de firma binaria.

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

Codifique la firma binaria en base64:

$ base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

Copie y pegue la firma codificada en base64 en el archivo del token, con el formato de literal de objeto JSON especificado anteriormente para la firma del aprobador.

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}