Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
# Referencia para los comandos de la utilidad de administración de AWS CloudHSM claves
La herramienta de línea de comandos **key\$1mgmt\$1util** le ayuda a administrar las claves de los módulos de seguridad de hardware (HSM) del AWS CloudHSM clúster, lo que incluye crear, eliminar y buscar las claves y sus atributos. Contiene varios comandos, cada uno de los cuales se describe en detalle en este tema.
Para un inicio rápido, consulte [Cómo empezar con AWS CloudHSM key\$1mgmt\$1util](key_mgmt_util-getting-started.md). Para obtener ayuda para interpretar los atributos de clave, consulte la [AWS CloudHSM referencia de atributo clave para KMU](key-attribute-table.md). Para obtener información sobre la herramienta de línea de comandos cloudhsm\$1mgmt\$1util que contiene los comandos necesarios para administrar el HSM y los usuarios del clúster, consulte [AWS CloudHSM Utilidad de administración (CMU)](cloudhsm_mgmt_util.md).
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
Para ver una lista de todos los comandos key\$1mgmt\$1util, escriba:
```
Command: help
```
Para obtener ayuda sobre un comando de key\$1mgmt\$1util específico, escriba:
```
Command: -h
```
Para finalizar la sesión de key\$1mgmt\$1util, escriba:
```
Command: exit
```
En los temas siguientes, se describen los comandos de key\$1mgmt\$1util.
**nota**
Algunos comandos de key\$1mgmt\$1util y cloudhsm\$1mgmt\$1util tienen el mismo nombre. Sin embargo, los comandos suelen tener una sintaxis diferente, un resultado diferente y una funcionalidad ligeramente diferente.
| Comando | Description (Descripción) |
| --- | --- |
| [aesWrapUnwrap](key_mgmt_util-aesWrapUnwrap.md) | Cifra y descifra el contenido de una clave de un archivo. |
| [deleteKey](key_mgmt_util-deleteKey.md) | HSMsElimina una clave del. |
| [Error2String](key_mgmt_util-Error2String.md) | Obtiene el error que corresponde al código de error hexadecimal key\$1mgmt\$1util. |
| [exit](key_mgmt_util-exit.md) | Sale de key\$1mgmt\$1util. |
| [exportPrivateKey](key_mgmt_util-exportPrivateKey.md) | Exporta una copia de una clave privada de un HSM a un archivo del disco. |
| [exportPubKey](key_mgmt_util-exportPubKey.md) | Exporta una copia de una clave pública de un HSM a un archivo. |
| [exSymKey](key_mgmt_util-exSymKey.md) | Exporta una copia en texto plano de una clave simétrica de HSMs un archivo. |
| [extractMaskedObject](key_mgmt_util-extractMaskedObject.md) | Extrae una clave de un HSM como un archivo de objeto enmascarado. |
| [findKey](key_mgmt_util-findKey.md) | Busca claves en función de un valor de atributo de clave. |
| [findSingleKey](key_mgmt_util-findSingleKey.md) | Comprueba que existe una clave en todos los componentes del clúster HSMs . |
| [Par de genes DSAKey](key_mgmt_util-genDSAKeyPair.md) | Genera un par de claves del [algoritmo de firma digital](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm) (DSA) en su HSMs. |
| [Par de genes ECCKey](key_mgmt_util-genECCKeyPair.md) | Genera un par de claves de [criptografía de curva elíptica](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography) (ECC) en su. HSMs |
| [Par de genes RSAKey](key_mgmt_util-genRSAKeyPair.md) | Genera un key pair asimétrico [RSA](https://en.wikipedia.org/wiki/RSA_%28cryptosystem%29) en su. HSMs |
| [genSymKey](key_mgmt_util-genSymKey.md) | Genera una clave simétrica en su HSMs |
| [getAttribute](key_mgmt_util-getAttribute.md) | Obtiene los valores de los atributos de una clave de AWS CloudHSM y los escribe en un archivo. |
| [getCaviumPrivClave](key_mgmt_util-getCaviumPrivKey.md) | Crea una versión en formato PEM falso de una clave privada y la exporta a un archivo. |
| [getCert](key_mgmt_util-getCert.md) | Recupera los certificados de las particiones de un HSM y los guarda en un archivo. |
| [getKeyInfo](key_mgmt_util-getKeyInfo.md) | Obtiene el usuario HSM IDs de los usuarios que pueden usar la clave. Si la clave se controla mediante cuórum, obtiene el número de usuarios del cuórum. |
| [help](key_mgmt_util-help.md) | Muestra información de ayuda para los comandos disponibles en key\$1mgmt\$1util. |
| [importPrivateKey](key_mgmt_util-importPrivateKey.md) | Importa una clave privada en un HSM. |
| [importPubKey](key_mgmt_util-importPubKey.md) | Importa una clave pública en un HSM. |
| [imSymKey](key_mgmt_util-imSymKey.md) | Importa una copia de texto no cifrado de una clave simétrica desde un archivo a los HSM. |
| [insertMaskedObject](key_mgmt_util-insertMaskedObject.md) | Inserta un objeto enmascarado desde un archivo en disco a un HSM perteneciente al clúster relacionado con el clúster de origen del objeto. Un clúster relacionado es cualquier clúster [generado a partir de una copia de seguridad del clúster de origen](create-cluster-from-backup.md). |
| [Validar el archivo clave mediante AWS CloudHSM KMU](key_mgmt_util-IsValidKeyHandlefile.md) | Determina si un archivo determinado contiene una clave privada real o una clave PEM de ejemplo. |
| [listAttributes](key_mgmt_util-listAttributes.md) | Muestra los atributos de una AWS CloudHSM clave y las constantes que los representan. |
| [listUsers](key_mgmt_util-listUsers.md) | Obtiene los usuarios de HSMs, su tipo de usuario y su identificador, así como otros atributos. |
| [loginHSM y logoutHSM](key_mgmt_util-loginHSM.md) | Iniciar y cerrar sesión HSMs en un clúster. |
| [setAttribute](key_mgmt_util-setAttribute.md) | Convierte una clave de sesión en una clave persistente. |
| [sign](key_mgmt_util-sign.md) | Genera una firma para un archivo utilizando la clave privada elegida. |
| [unWrapKey](key_mgmt_util-unwrapKey.md) | Importa una clave empaquetada (cifrada) de un archivo al HSMs. |
| [verify](key_mgmt_util-verify.md) | Verifica si se utilizó una clave determinada para firmar un archivo concreto. |
| [wrapKey](key_mgmt_util-wrapKey.md) | Exporta una copia cifrada de una clave desde el HSM a un archivo. |
# Cifrar y descifrar un AWS CloudHSM archivo con KMU
Use el **aesWrapUnwrap** comando de AWS CloudHSM key\$1mgmt\$1util para cifrar o descifrar el contenido de un archivo del disco. Este comando está diseñado para encapsular y desencapsular claves de cifrado, pero se puede utilizar en cualquier archivo que contenga menos de 4 KB (4096 bytes) de datos.
**aesWrapUnwrap** utiliza el encapsulado de claves AES con relleno PKCS \$15. Emplea una clave AES en el HSM como clave de encapsulamiento o desencapsulamiento. A continuación escribe el resultado en otro archivo en el disco.
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
aesWrapUnwrap -h
aesWrapUnwrap -m
-f
-w
[-i ]
[-out ]
```
## Ejemplos
En estos ejemplos, se muestra cómo se utiliza **aesWrapUnwrap** para cifrar y descifrar una clave de cifrado en un archivo.
**Example : encapsulamiento de una clave de cifrado**
Este comando utiliza **aesWrapUnwrap** para encapsular una clave simétrica triple DES que se ha [exportado desde el HSM sin cifrar](key_mgmt_util-exSymKey.md) hasta el archivo `3DES.key`. Puede utilizar un comando similar para encapsular toda clave que esté guardada en un archivo.
El comando utiliza el parámetro `-m` con un valor de `1` para indicar el modo de encapsulamiento. Utiliza el parámetro `-w` para especificar una clave AES en el HSM (indicador de clave `6`) como clave de encapsulamiento. Escribe la clave encapsulada obtenida en el archivo `3DES.key.wrapped`.
La salida muestra que el comando se ha ejecutado correctamente y que la operación ha utilizado el IV predeterminado, que es el preferido.
```
Command: aesWrapUnwrap -f 3DES.key -w 6 -m 1 -out 3DES.key.wrapped
Warning: IV (-i) is missing.
0xA6A6A6A6A6A6A6A6 is considered as default IV
result data:
49 49 E2 D0 11 C1 97 22
17 43 BD E3 4E F4 12 75
8D C1 34 CF 26 10 3A 8D
6D 0A 7B D5 D3 E8 4D C2
79 09 08 61 94 68 51 B7
result written to file 3DES.key.wrapped
Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS
```
**Example : desencapsulamiento de una clave de cifrado**
En este ejemplo, se muestra cómo se utiliza **aesWrapUnwrap** para desencapsular (descifrar) una clave encapsulada (cifrada) en un archivo. Puede que le interese realizar una operación de este tipo antes de importar una clave al HSM. Por ejemplo, si intenta utilizar el [imSymKey](key_mgmt_util-imSymKey.md)comando para importar una clave cifrada, devuelve un error porque la clave cifrada no tiene el formato necesario para una clave de texto sin formato de ese tipo.
El comando desencapsula la clave del archivo `3DES.key.wrapped` y escribe el texto sin cifrar en el archivo `3DES.key.unwrapped`. El comando utiliza el parámetro `-m` con un valor de `0` para indicar el modo de desencapsulamiento. Utiliza el parámetro `-w` para especificar una clave AES en el HSM (indicador de clave `6`) como clave de encapsulamiento. Escribe la clave encapsulada obtenida en el archivo `3DES.key.unwrapped`.
```
Command: aesWrapUnwrap -m 0 -f 3DES.key.wrapped -w 6 -out 3DES.key.unwrapped
Warning: IV (-i) is missing.
0xA6A6A6A6A6A6A6A6 is considered as default IV
result data:
14 90 D7 AD D6 E4 F5 FA
A1 95 6F 24 89 79 F3 EE
37 21 E6 54 1F 3B 8D 62
result written to file 3DES.key.unwrapped
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
**-h**
Muestra ayuda para el comando.
Obligatorio: sí
**-m**
Especifica el modo. Para encapsular (cifrar) el contenido del archivo, escriba `1`; para desencapsular (descifrar) el contenido del archivo, escriba `0`.
Obligatorio: sí
**-f**
Especifica el archivo que se va a encapsular. Especifique un archivo que contenga menos de 4 KB (4096 bytes) de datos. Esta operación está diseñada para encapsular y desencapsular claves de cifrado.
Obligatorio: sí
**-w**
Especifica la clave de encapsulamiento. Introduzca el identificador de clave de una clave AES en el HSM. Este parámetro es obligatorio. Para buscar identificadores de clave, use el comando [findKey](key_mgmt_util-findKey.md).
Para crear una clave de empaquetado, utilice [genSymKey](key_mgmt_util-genSymKey.md)para generar una clave AES (tipo 31).
Obligatorio: sí
**-i**
Especifica un valor inicial alternativo (IV) para el algoritmo. Utilice el valor predeterminado a menos que tenga una condición especial que requiera una alternativa.
Predeterminado: `0xA6A6A6A6A6A6A6A6`. El valor predeterminado se define en la especificación de algoritmo de [encapsulamiento de claves AES](https://tools.ietf.org/html/rfc3394).
Obligatorio: no
**-out**
Especifica un nombre alternativo para el archivo de salida que contiene la clave encapsulada o desencapsulada. El valor predeterminado es `wrapped_key` (para operaciones de encapsulamiento) y `unwrapped_key` (para operaciones de desencapsulamiento) en el directorio local.
Si el archivo existe, el comando **aesWrapUnwrap** lo sobrescribe sin ningún tipo de advertencia. Si se produce un error en el comando, **aesWrapUnwrap** crea un archivo de salida sin contenido.
Valor predeterminado: para el encapsulamiento: `wrapped_key`. Para el desencapsulamiento: `unwrapped_key`.
Obligatorio: no
## Temas relacionados
+ [exSymKey](key_mgmt_util-exSymKey.md)
+ [imSymKey](key_mgmt_util-imSymKey.md)
+ [unWrapKey](key_mgmt_util-unwrapKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
# Eliminar una AWS CloudHSM clave mediante KMU
Use el **deleteKey** comando del AWS CloudHSM key\$1mgmt\$1util para eliminar una clave del módulo de seguridad de hardware (HSM) de un clúster. AWS CloudHSM Solo puede eliminar las claves de una en una. La eliminación de una clave de un par de claves no influye en la otra clave del par.
Solo el propietario de la clave puede eliminar una clave. Los usuarios que comparten la clave pueden utilizarla en operaciones criptográficas, pero no eliminarla.
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
deleteKey -h
deleteKey -k
```
## Ejemplos
Estos ejemplos muestran cómo se utilizan para eliminar claves de su. **deleteKey** HSMs
**Example : eliminación de una clave**
Este comando elimina la clave que tiene el identificador de clave `6`. Cuando el comando se ejecuta correctamente, **deleteKey** devuelve mensajes de éxito desde cada HSM del clúster.
```
Command: deleteKey -k 6
Cfm3DeleteKey returned: 0x00 : HSM Return: SUCCESS
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
```
**Example : eliminación de una clave (error)**
Cuando se produce un error en el comando porque ninguna clave tiene el identificador de clave especificado, **deleteKey** devuelve un mensaje de error de identificador de objeto no válido.
```
Command: deleteKey -k 252126
Cfm3FindKey returned: 0xa8 : HSM Error: Invalid object handle is passed to this operation
Cluster Error Status
Node id 1 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation
Node id 2 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation
```
Cuando el comando genera un error porque el usuario actual no es el propietario de la clave, el comando devuelve un error de acceso denegado.
```
Command: deleteKey -k 262152
Cfm3DeleteKey returned: 0xc6 : HSM Error: Key Access is denied.
```
## Parameters
**-h**
Muestra la ayuda de la línea de comando para el comando.
Obligatorio: sí
**-k**
Especifica el identificador de la clave que se va a eliminar. Para encontrar los identificadores de clave de las claves del HSM, utilice [findKey](key_mgmt_util-findKey.md).
Obligatorio: sí
## Temas relacionados
+ [findKey](key_mgmt_util-findKey.md)
# Describa un AWS CloudHSM error con la KMU
Utilice el comando **Error2String** helper de key\$1mgmt\$1util para devolver el error que corresponde a un código de error hexadecimal de AWS CloudHSM key\$1mgmt\$1util. Puede utilizar este comando cuando esté solucionando problemas de los comandos y los scripts.
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
Error2String -h
Error2String -r
```
## Ejemplos
En estos ejemplos, se muestra cómo utilizar **Error2String** para obtener la cadena de error de un código de error de key\$1mgmt\$1util.
**Example : obtención de una descripción del error**
Este comando obtiene la descripción del error del código de error `0xdb`. En la descripción, se explica que un intento de iniciar sesión en key\$1mgmt\$1util generó un error porque el usuario no era del tipo adecuado. Solo los usuarios de criptografía (CU) pueden iniciar sesión en key\$1mgmt\$1util.
```
Command: Error2String -r 0xdb
Error Code db maps to HSM Error: Invalid User Type.
```
**Example : búsqueda del código de error**
En este ejemplo, se muestra dónde se puede encontrar el código de error de key\$1mgmt\$1util. El código de error, `0xc6`, se muestra después de la cadena: `Cfm3 returned: `.
En este ejemplo, [getKeyInfo](key_mgmt_util-getKeyInfo.md)indica que el usuario actual (usuario 4) puede utilizar la clave en operaciones criptográficas. Sin embargo, cuando el usuario intenta utilizar [deleteKey](key_mgmt_util-deleteKey.md) para eliminar la clave, el comando devuelve el código de error `0xc6`.
```
Command: deleteKey -k 262162
Cfm3DeleteKey returned: <0xc6> : HSM Error: Key Access is denied
Cluster Error Status
Command: getKeyInfo -k 262162
Cfm3GetKey returned: 0x00 : HSM Return: SUCCESS
Owned by user 3
also, shared to following 1 user(s):
4
```
Si se le notifica el error `0xc6`, puede utilizar un comando **Error2String** como este para buscar el error. En este caso el comando `deleteKey` ha generado un error de acceso denegado porque la clave se comparte con el usuario actual, pero es propiedad de otro usuario. Solo los propietarios de la clave tienen permiso para eliminarla.
```
Command: Error2String -r 0xa8
Error Code c6 maps to HSM Error: Key Access is denied
```
## Parameters
**-h**
Muestra ayuda para el comando.
Obligatorio: sí
**-r**
Especifica un código de error hexadecimal. El indicador `0x` hexadecimal es obligatorio.
Obligatorio: sí
# Salga de la AWS CloudHSM KMU
Utilice el **exit** comando de la AWS CloudHSM key\$1mgmt\$1util para salir de la key\$1mgmt\$1util. Después de salir correctamente, volverá a la línea de comandos estándar.
Para poder ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start).
## Sintaxis
```
exit
```
## Parameters
Este comando no tiene parámetros.
## Temas relacionados
+ [Iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start)
# Exportación de una AWS CloudHSM clave privada mediante KMU
Utilice el **exportPrivateKey** comando del AWS CloudHSM key\$1mgmt\$1util para exportar una clave privada asimétrica de un módulo de seguridad de hardware (HSM) a un archivo. El HSM no permite la exportación directa de claves en texto sin cifrar. El comando encapsula la clave privada con una clave de encapsulamiento AES que usted especifique, descifra los bytes encapsulados y copia la clave privada de texto sin cifrar en un archivo.
El comando **exportPrivateKey** no elimina la clave del HSM, no cambia sus [atributos de clave](key-attribute-table.md) ni le impide a usted utilizar la clave en operaciones criptográficas posteriores. Puede exportar la misma clave varias veces.
Solo puede exportar claves privadas que tengan un atributo `OBJ_ATTR_EXTRACTABLE` con valor `1`. Debe especificar una clave de encapsulamiento AES que tenga los atributos `OBJ_ATTR_WRAP` y `OBJ_ATTR_DECRYPT` con valor `1`. Para buscar los atributos de una clave, utilice el comando [**getAttribute**](key_mgmt_util-getAttribute.md).
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
exportPrivateKey -h
exportPrivateKey -k
-w
-out
[-m ]
[-wk ]
```
## Ejemplos
Este ejemplo muestra cómo utilizar **exportPrivateKey** para exportar una clave privada de un HSM.
**Example : exportación de una clave privada**
Este comando exporta la clave privada con el identificador `15` utilizando una clave de encapsulación con el identificador `16` a un archivo PEM denominado `exportKey.pem`. Cuando el comando se ejecuta correctamente, **exportPrivateKey** devuelve un mensaje de confirmación.
```
Command: exportPrivateKey -k 15 -w 16 -out exportKey.pem
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
PEM formatted private key is written to exportKey.pem
```
## Parameters
Este comando admite los siguientes parámetros.
**`-h`**
Muestra la ayuda de la línea de comando para el comando.
Obligatorio: sí
**`-k`**
Especifica el identificador de clave de la clave privada que se va a exportar.
Obligatorio: sí
**`-w`**
Especifica el identificador de la clave de encapsulamiento. Este parámetro es obligatorio. Para buscar identificadores de clave, utilice el comando [**findKey**](key_mgmt_util-findKey.md).
Para determinar si una clave se puede utilizar como clave de encapsulación, utilice [**getAttribute**](key_mgmt_util-getAttribute.md) para obtener el valor del atributo `OBJ_ATTR_WRAP` (262). Para crear una clave de encapsulación, utilice [**genSymKey**](key_mgmt_util-genSymKey.md) para crear una clave AES (de tipo 31).
Si utiliza el parámetro `-wk` para especificar una clave de desencapsulación externa, la clave de encapsulación `-w` se utiliza para encapsular, pero no para desencapsular, la clave durante la exportación.
Obligatorio: sí
**`-out`**
Especifica el nombre del archivo en el que se escribirá la clave privada exportada.
Obligatorio: sí
**`-m`**
Especifica el mecanismo de encapsulación que se aplicará a la clave privada que se va a exportar. El único valor válido es `4`, que representa el mecanismo `NIST_AES_WRAP mechanism.`
Valor predeterminado: 4 (`NIST_AES_WRAP`)
Obligatorio: no
**`-wk`**
Especifica la clave que se utilizará para desencapsular la clave que se está exportando. Escriba la ruta y el nombre de un archivo que contenga una clave AES sin cifrar.
Si se incluye este parámetro, **exportPrivateKey** utiliza la clave del archivo especificado en el parámetro `-w` para encapsular la clave que se va a exportar y utiliza la clave especificada con el parámetro `-wk` para desencapsularla.
Valor predeterminado: utilizar la clave de encapsulación especificada en el parámetro `-w` para encapsular y desencapsular.
Obligatorio: no
## Temas relacionados
+ [importPrivateKey](key_mgmt_util-importPrivateKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
+ [unWrapKey](key_mgmt_util-unwrapKey.md)
+ [genSymKey](key_mgmt_util-genSymKey.md)
# Exportación de una AWS CloudHSM clave pública mediante KMU
Utilice el **exportPubKey** comando del AWS CloudHSM key\$1mgmt\$1util para exportar una clave pública de un HSM a un archivo. Puede utilizarlo para exportar las claves públicas que genere en un HSM. También puede utilizar este comando para exportar las claves públicas que se importaron en un HSM, como las que se importaron con el comando **[**importPubKey**](key_mgmt_util-importPubKey.md)**.
El comando **exportPubKey** copia el material de claves en el archivo que se especifique. Sin embargo, no elimina la clave del HSM, no cambia sus [atributos de clave](key-attribute-table.md) ni le impide a usted utilizar la clave en operaciones criptográficas posteriores. Puede exportar la misma clave varias veces.
Solo puede exportar las claves públicas cuyo valor de `OBJ_ATTR_EXTRACTABLE` es `1`. Para buscar los atributos de una clave, utilice el comando **[getAttribute](key_mgmt_util-getAttribute.md)**.
Antes de ejecutar cualquier comando de `key_mgmt_util`, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [iniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
exportPubKey -h
exportPubKey -k
-out
```
## Ejemplos
Este ejemplo muestra cómo utilizar **exportPubKey** para exportar una clave pública de un HSM.
**Example : exportar una clave pública.**
Este comando exporta una clave pública con el identificador `10` a un archivo denominado `public.pem`. Cuando el comando se ejecuta correctamente, **exportPubKey** devuelve un mensaje de confirmación.
```
Command: exportPubKey -k 10 -out public.pem
PEM formatted public key is written to public.pem
Cfm3ExportPubKey returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
Este comando admite los siguientes parámetros.
**`-h`**
Muestra la ayuda de la línea de comando para el comando.
Obligatorio: sí
**`-k`**
Especifica el identificador de clave de la clave pública que se va a exportar.
Obligatorio: sí
**`-out`**
Especifica el nombre del archivo en el que se escribirá la clave pública exportada.
Obligatorio: sí
## Temas relacionados
+ [importPubKey](key_mgmt_util-importPubKey.md)
+ [Generar claves](generate-keys.md)
# Exportación de una copia en texto plano de una AWS CloudHSM clave mediante KMU
Utilice el **exSymKey** comando de la herramienta AWS CloudHSM key\$1mgmt\$1util para exportar una copia en texto plano de una clave simétrica del módulo de seguridad de hardware (HSM) y guardarla en un archivo en el disco. Para exportar una copia cifrada (encapsulada) de una clave, utilice [wrapKey](key_mgmt_util-wrapKey.md). Para importar una clave de texto sin formato, como las que se exportan, utilice. `exSymKey` [imSymKey](key_mgmt_util-imSymKey.md)
Durante el proceso de exportación, **exSymKey** utiliza una clave AES que se especifica (la *clave de encapsulado*) para *encapsular* (cifrar) y luego *desencapsular* (descifrar) la clave que se va a exportar. Sin embargo, el resultado de la operación de exportación es una clave sin cifrar (*desencapsulada*) en el disco.
Solo el propietario de una clave, es decir, el usuario CU que creó la clave, puede exportarla. Los usuarios que comparten la clave pueden utilizarla en operaciones criptográficas, pero no pueden exportarla.
La operación **exSymKey** copia el material de la clave en el archivo especificado, pero no elimina la clave del HSM, ni cambia sus [atributos de clave](key-attribute-table.md), ni le impide utilizar la clave en operaciones criptográficas. Puede exportar la misma clave varias veces.
**exSymKey** exporta únicamente claves simétricas. Para exportar claves públicas, utilice [exportPubKey](key_mgmt_util-exportPubKey.md). Para exportar claves privadas, utilice [exportPrivateKey](key_mgmt_util-exportPrivateKey.md).
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
exSymKey -h
exSymKey -k
-w
-out
[-m 4]
[-wk ]
```
## Ejemplos
Estos ejemplos muestran cómo se utilizan **exSymKey** para exportar claves simétricas que son de su propiedad. HSMs
**Example : exportación de una clave simétrica 3DES**
Este comando exporta una clave simétrica Triple DES (3DES) (identificador de clave `7`). Utiliza una clave AES ya existente (identificador de clave `6`) del HSM como clave de encapsulación. A continuación, escribe el texto no cifrado de la clave 3DES en el archivo `3DES.key`.
La salida muestra que la clave `7` (la clave 3DES) se ha encapsulado y desencapsulado correctamente y que, a continuación, se ha escrito en el archivo `3DES.key`.
Aunque la salida indica que se ha escrito una "Wrapped Symmetric Key" (clave simétrica encapsulada) en el archivo de salida, este contiene una clave no cifrada (desencapsulada).
```
Command: exSymKey -k 7 -w 6 -out 3DES.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "3DES.key"
```
**Example : cómo exportar con una clave de encapsulación solo para la sesión**
En este ejemplo se muestra cómo utilizar una clave que solo existe en la sesión como clave de encapsulación. Dado que la clave para la exportación se encapsula, se desencapsula inmediatamente y se entrega sin cifrar, no es necesario conservar la clave de encapsulación.
Esta serie de comandos exporta una clave AES con el identificador de clave `8` del HSM. Utiliza una clave de sesión AES creada especialmente para este fin.
El primer comando se utiliza [genSymKey](key_mgmt_util-genSymKey.md)para crear una clave AES de 256 bits. Utiliza el parámetro `-sess` para crear una clave que solo existe en la sesión actual.
La salida muestra que el HSM crea la clave `262168`.
```
Command: genSymKey -t 31 -s 32 -l AES-wrapping-key -sess
Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS
Symmetric Key Created. Key Handle: 262168
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
```
A continuación, el ejemplo comprueba que la clave `8`, es decir, la clave que se va a exportar, sea una clave simétrica que se puede extraer. También comprueba que la clave de encapsulación, clave `262168`, sea una clave AES que solo exista en la sesión. Puede ejecutar el comando [findKey](key_mgmt_util-findKey.md), pero este ejemplo exporta los atributos de ambas claves a archivos y, a continuación, utiliza `grep` para encontrar los valores de atributos pertinentes en el archivo.
Estos comandos utilizan `getAttribute` con un valor `-a` de `512` (todos) para obtener todos los atributos de las claves `8` y `262168`. Para obtener información sobre los atributos de las claves, consulte la [AWS CloudHSM referencia de atributo clave para KMU](key-attribute-table.md).
```
getAttribute -o 8 -a 512 -out attributes/attr_8
getAttribute -o 262168 -a 512 -out attributes/attr_262168
```
Estos comandos ejecutan `grep` para verificar los atributos de la clave que se va a exportar (clave `8`) y la clave de encapsulación solo para la sesión (clave `262168`).
```
// Verify that the key to be exported is a symmetric key.
$ grep -A 1 "OBJ_ATTR_CLASS" attributes/attr_8
OBJ_ATTR_CLASS
0x04
// Verify that the key to be exported is extractable.
$ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_8
OBJ_ATTR_EXTRACTABLE
0x00000001
// Verify that the wrapping key is an AES key
$ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_262168
OBJ_ATTR_KEY_TYPE
0x1f
// Verify that the wrapping key is a session key
$ grep -A 1 "OBJ_ATTR_TOKEN" attributes/attr_262168
OBJ_ATTR_TOKEN
0x00
// Verify that the wrapping key can be used for wrapping
$ grep -A 1 "OBJ_ATTR_WRAP" attributes/attr_262168
OBJ_ATTR_WRAP
0x00000001
```
Por último, utilizamos un comando **exSymKey** para exportar una clave `8` utilizando la clave de sesión (clave `262168`) como clave de encapsulado.
Cuando finaliza la sesión, la clave `262168` ya no existe.
```
Command: exSymKey -k 8 -w 262168 -out aes256_H8.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "aes256_H8.key"
```
**Example : utilización de una clave de desencapsulación externa**
En este ejemplo se muestra cómo utilizar una clave de desencapsulación externa para exportar una clave desde el HSM.
Cuando exporta una clave desde el HSM, usted especifica una clave AES en el HSM para que sea la clave de encapsulación. De forma predeterminada, esa clave de encapsulación se usa para encapsular y desencapsular la clave que se va a exportar. Sin embargo, puede utilizar el parámetro `-wk` para indicar a **exSymKey** que utilice una clave externa de un archivo del disco para desencapsularla. Si lo hace, la clave especificada por el parámetro `-w` encapsula la clave de destino y la clave del archivo especificado por el parámetro `-wk` desencapsula la clave.
Dado que la clave de encapsulación tiene que ser una clave AES, que es simétrica, la clave de encapsulación del HSM y la clave de desencapsulación del disco han de tener el mismo material de clave. Para ello, debe importar la clave de encapsulación al HSM o exportarla desde el HSM antes de la operación de exportación.
En este ejemplo se crea una clave fuera del HSM y se importa al HSM. Se utiliza la copia interna de la clave para encapsular una clave simétrica que se exporta y la copia de clave del archivo para desencapsularla.
El primer comando utiliza OpenSSL para generar una clave AES de 256 bits. Guarda la clave en el archivo `aes256-forImport.key`. El comando OpenSSL no devuelve una salida, pero puede utilizar varios comandos para confirmar que todo se ha realizado correctamente. En este ejemplo, se utiliza la herramienta **wc** (recuento de palabras), que confirma que el archivo contiene 32 bytes de datos.
```
$ openssl rand -out keys/aes256-forImport.key 32
$ wc keys/aes256-forImport.key
0 2 32 keys/aes256-forImport.key
```
Este comando utiliza el comando [imSymKey](key_mgmt_util-imSymKey.md) para importar la clave AES desde el archivo `aes256-forImport.key` al HSM. Cuando se completa el comando, la clave existe en el HSM con el identificador de clave `262167` y en el archivo `aes256-forImport.key`.
```
Command: imSymKey -f keys/aes256-forImport.key -t 31 -l aes256-imported -w 6
Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS
Cfm3CreateUnwrapTemplate returned: 0x00 : HSM Return: SUCCESS
Cfm3UnWrapKey returned: 0x00 : HSM Return: SUCCESS
Symmetric Key Unwrapped. Key Handle: 262167
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
```
Este comando utiliza la clave en una operación de exportación. El comando utiliza **exSymKey** para exportar la clave `21`, una clave AES de 192 bits. Para encapsular la clave utiliza la clave `262167`, que es la copia que se importó en el HSM. Para desencapsular la clave, utiliza el mismo material de clave en el archivo `aes256-forImport.key`. Cuando se completa el comando, la clave `21` se exporta al archivo `aes192_h21.key`.
```
Command: exSymKey -k 21 -w 262167 -out aes192_H21.key -wk aes256-forImport.key
Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
Wrapped Symmetric Key written to file "aes192_H21.key"
```
## Parameters
**-h**
Muestra ayuda para el comando.
Obligatorio: sí
**-k**
Especifica el identificador de la clave que se va a exportar. Este parámetro es obligatorio. Escriba el identificador de una clave simétrica de su propiedad. Este parámetro es obligatorio. Para buscar identificadores de clave, use el comando [findKey](key_mgmt_util-findKey.md).
Para verificar que se puede exportar una clave, ejecute el comando [getAttribute](key_mgmt_util-getAttribute.md) para obtener el valor del atributo `OBJ_ATTR_EXTRACTABLE`, que se representa con la constante `354`. Además, puede exportar únicamente claves de su propiedad. Para encontrar el propietario de una clave, usa el [getKeyInfo](key_mgmt_util-getKeyInfo.md)comando.
Obligatorio: sí
**-w**
Especifica el identificador de la clave de encapsulamiento. Este parámetro es obligatorio. Para buscar identificadores de clave, use el comando [findKey](key_mgmt_util-findKey.md).
Una *clave de encapsulación* es una clave del HSM que se utiliza para cifrar (encapsular) y después descifrar (desencapsular) la clave que se va a exportar. Solo las claves AES se pueden utilizar como claves de encapsulación.
Puede utilizar cualquier clave AES (de cualquier tamaño) como clave de encapsulación. Dado que la clave de encapsulación encapsula y, a continuación, desencapsula inmediatamente la clave de destino, puede utilizar una clave AES solo de una sesión como clave de encapsulación. Para determinar si una clave se puede utilizar como clave de encapsulación, utilice [getAttribute](key_mgmt_util-getAttribute.md) para obtener el valor del atributo `OBJ_ATTR_WRAP`, que se representa con la constante `262`. Para crear una clave de encapsulación, utilice [genSymKey](key_mgmt_util-genSymKey.md) para crear una clave AES (de tipo 31).
Si utiliza el parámetro `-wk` para especificar una clave de desencapsulación externa, la clave de encapsulación `-w` se utiliza para encapsular, pero no desencapsular, la clave durante la exportación.
La clave 4 representa una clave interna incompatible. Le recomendamos que use una clave AES que cree y administre como clave de encapsulamiento.
Obligatorio: sí
**-out**
Especifica la ruta y el nombre del archivo de salida. Cuando el comando se ejecuta correctamente, este archivo contiene la clave exportada sin cifrar. Si el archivo ya existe, el comando lo sobrescribe sin ningún tipo de advertencia.
Obligatorio: sí
**-m**
Especifica el mecanismo de encapsulación. El único valor válido es `4`, que representa el mecanismo `NIST_AES_WRAP`.
Obligatorio: no
Predeterminado: 4
**-wk**
Utilice la clave AES del archivo especificado para desencapsular la clave que se exporta. Escriba la ruta y el nombre de un archivo que contenga una clave AES sin cifrar.
Si se incluye este parámetro, `exSymKey` utiliza la clave del HSM que se especificó en el parámetro `-w` para encapsular la clave que se va a exportar y utiliza la clave del archivo `-wk` para desencapsularla. Los valores de parámetro `-w` y `-wk` deben resolverse en la misma clave sin cifrar.
Obligatorio: no
Valor predeterminado: utilice la clave de encapsulación del HSM para realizar la desencapsulación.
## Temas relacionados
+ [genSymKey](key_mgmt_util-genSymKey.md)
+ [imSymKey](key_mgmt_util-imSymKey.md)
+ [wrapKey](key_mgmt_util-wrapKey.md)
# Extraer una AWS CloudHSM clave mediante KMU
Utilice el **extractMaskedObject** comando del AWS CloudHSM key\$1mgmt\$1util para extraer una clave de un módulo de seguridad de hardware (HSM) y guardarla en un archivo como un objeto enmascarado. Los objetos enmascarados son objetos *clonados* que solo se pueden utilizar después volver a insertarlos en el clúster original mediante el comando **[insertMaskedObject](key_mgmt_util-insertMaskedObject.md)**. Solo puede insertar un objeto enmascarado en el mismo clúster desde el que se generó, o en un clon de ese clúster. Esto incluye cualquier versión clonada del clúster generada al [copiar una copia de seguridad entre regiones](copy-backup-to-region.md) y al [utilizar la copia de seguridad para crear un clúster nuevo](create-cluster-from-backup.md).
Los objetos enmascarados son una forma eficaz de descargar y sincronizar claves, incluidas las claves no extraíbles (es decir, las claves que tienen un valor de [`OBJ_ATTR_EXTRACTABLE`](key-attribute-table.md) igual a `0`). [De esta forma, las claves se pueden sincronizar de forma segura en los clústeres relacionados de distintas regiones sin necesidad de actualizar el archivo de configuración. AWS CloudHSM](configure-tool.md)
**importante**
Tras su inserción, los objetos enmascarados se descifran y se les asigna un identificador de clave que es distinto del identificador de clave de la clave original. Un objeto enmascarado incluye todos los metadatos asociados a la clave original, incluidos los atributos, la información de propiedad y uso compartido y la configuración de cuórum. Si necesita sincronizar claves entre los clústeres de una aplicación, utilice [syncKey](cloudhsm_mgmt_util-syncKey.md) en cloudhsm\$1mgmt\$1util en su lugar.
Para poder ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [iniciar sesión](key_mgmt_util-log-in.md) en el HSM. El comando **extractMaskedObject** lo puede utilizar el CU que es el propietario de la clave o cualquier CO.
## Sintaxis
```
extractMaskedObject -h
extractMaskedObject -o
-out
```
## Ejemplos
Este ejemplo muestra cómo utilizar **extractMaskedObject** para extraer una clave de un HSM como un objeto enmascarado.
**Example : extraer un objeto enmascarado.**
Este comando extrae un objeto enmascarado de un HSM a partir de la clave con el identificador `524295` y lo guarda como un archivo denominado `maskedObj`. Cuando el comando se ejecuta correctamente, **extractMaskedObject** devuelve un mensaje de confirmación.
```
Command: extractMaskedObject -o 524295 -out maskedObj
Object was masked and written to file "maskedObj"
Cfm3ExtractMaskedObject returned: 0x00 : HSM Return: SUCCESS
```
## Parameters
Este comando admite los siguientes parámetros.
**`-h`**
Muestra la ayuda de la línea de comando para el comando.
Obligatorio: sí
**`-o`**
Especifica el identificador de la clave que se va a extraer como objeto enmascarado.
Obligatorio: sí
**`-out`**
Especifica el nombre del archivo en el que se guardará el objeto enmascarado.
Obligatorio: sí
## Temas relacionados
+ [insertMaskedObject](key_mgmt_util-insertMaskedObject.md)
+ [syncKey](cloudhsm_mgmt_util-syncKey.md)
+ [Copia de una copia de seguridad entre regiones](copy-backup-to-region.md)
+ [Creación de un AWS CloudHSM clúster a partir de un Backup anterior](create-cluster-from-backup.md)
# Búsqueda de AWS CloudHSM claves por atributos mediante KMU
Utilice el **findKey** comando de AWS CloudHSM key\$1mgmt\$1util para buscar claves por los valores de los atributos clave. Cuando una clave coincide con todos los criterios que ha establecido, **findKey** devuelve el identificador de clave. Si no se especifica ningún parámetro, **findKey** devuelve los identificadores de todas las claves que se pueden utilizar en el HSM. Para encontrar los valores de atributo de una clave en particular, utilice [getAttribute](key_mgmt_util-getAttribute.md).
Al igual que todos los comandos de key\$1mgmt\$1util, **findKey** es específico del usuario. Devuelve solo las claves que el usuario actual puede utilizar en las operaciones criptográficas. Esto incluye las claves que el usuario actual posee y claves que se han compartido con el usuario actual.
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
findKey -h
findKey [-c ]
[-t ]
[-l ]
[-id ]
[-sess (0 | 1)]
[-u ]
[-m ]
[-kcv ]
```
## Ejemplos
Estos ejemplos muestran cómo se utilizan para buscar e identificar las claves **findKey** en su. HSMs
**Example : búsqueda de todas las claves**
Este comando encuentra todas las claves para el usuario actual en el HSM. El resultado incluye las claves que el usuario posee y comparte, y todas las claves públicas del HSMs.
Para obtener los atributos de una clave con un identificador de clave particular, utilice [getAttribute](key_mgmt_util-getAttribute.md). Para determinar si el usuario actual posee o comparte una clave en particular, utilice [getKeyInfo](key_mgmt_util-getKeyInfo.md)o [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)en cloudhsm\$1mgmt\$1util.
```
Command: findKey
Total number of keys present 13
number of keys matched from start index 0::12
6, 7, 524296, 9, 262154, 262155, 262156, 262157, 262158, 262159, 262160, 262161, 262162
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
```
**Example : búsqueda de claves por tipo, usuario y sesión**
Este comando encuentra claves de AES persistentes que el usuario actual y el usuario 3 pueden utilizar. (Es posible que el usuario 3 pueda utilizar otras claves que el usuario actual no puede ver.)
```
Command: findKey -t 31 -sess 0 -u 3
```
**Example : búsqueda de claves por clase y etiqueta**
Este comando encuentra todas las claves públicas para el usuario actual con la etiqueta `2018-sept`.
```
Command: findKey -c 2 -l 2018-sept
```
**Example : búsqueda de claves RSA por módulo**
Este comando encuentra claves RSA (tipo 0) para el usuario actual que se crearon utilizando el módulo en el archivo `m4.txt`.
```
Command: findKey -t 0 -m m4.txt
```
## Parameters
**-h**
Muestra ayuda para el comando.
Obligatorio: sí
**-t**
Encuentra claves del tipo especificado. Escriba la constante que representa la clase de clave. Por ejemplo, para encontrar las claves 3DES, escriba `-t 21`.
Valores válidos:
+ 0: [RSA](https://en.wikipedia.org/wiki/RSA_(cryptosystem))
+ 1: [DSA](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm)
+ 3: [EC](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography)
+ 16: [GENERIC\$1SECRET](http://docs.oasis-open.org/pkcs11/pkcs11-curr/v2.40/cos01/pkcs11-curr-v2.40-cos01.html#_Toc408226962)
+ 18: [RC4](https://en.wikipedia.org/wiki/RC4)
+ 21: [Triple DES (3DES)](https://en.wikipedia.org/wiki/Triple_DES)
+ 31: [AES](https://en.wikipedia.org/wiki/Advanced_Encryption_Standard)
Obligatorio: no
**-c**
Encuentra claves en la clase especificada. Escriba la constante que representa la clase de clave. Por ejemplo, para encontrar claves públicas, escriba `-c 2`.
Valores válidos para cada tipo de clave:
+ 2: pública. Esta clase contiene las claves públicas de los pares de claves públicas-privadas.
+ 3: privada. Esta clase contiene las claves privadas de los pares de claves públicas-privadas.
+ 4: secreta. Esta clase contiene todas las claves simétricas.
Obligatorio: no
**-l**
Encuentra claves con la etiqueta especificada. Escriba la etiqueta exacta. No puede utilizar caracteres comodín ni expresiones regulares en el valor `--l`.
Obligatorio: no
**-id**
Encuentra la clave con el ID especificado. Escriba la cadena exacta del ID. No puede utilizar caracteres comodín ni expresiones regulares en el valor `-id`.
Obligatorio: no
**-sess**
Encuentra claves por estado de la sesión. Para encontrar claves que solo sean válidas en la sesión actual, escriba `1`. Para encontrar claves persistentes, escriba `0`.
Obligatorio: no
**-u**
Encuentra claves que los usuarios especificados y el actual usuario comparten. Escriba una lista separada por comas de los usuarios de HSM IDs, como o. `-u 3` `-u 4,7` Para encontrar el número IDs de usuarios en un HSM, usa [ListUsers](key_mgmt_util-listUsers.md).
Si se especifica un ID de usuario, **findKey** devuelve las claves de ese usuario. Al especificar varios usuarios IDs, **findKey** devuelve las claves que pueden usar todos los usuarios especificados.
Como **findKey** solo devuelve las claves que el usuario actual puede utilizar, los resultados de `-u` son siempre idénticos a las claves del usuario actual, o a un subconjunto de ellas. Para obtener todas las claves que son propiedad de cualquier usuario o que comparten con él, crypto officers (COs) pueden usar [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)cloudhsm\$1mgmt\$1util.
Obligatorio: no
**-m**
Encuentra claves que se crearon utilizando el módulo RSA en el archivo especificado. Escriba la ruta al archivo que almacena el módulo.
-m especifica el archivo binario que contiene el módulo RSA con el que debe coincidir (opcional).
Obligatorio: no
**-kcv**
Encuentra claves con el valor de comprobación de clave que se ha especificado.
El *valor de comprobación de claves* (KCV) es un hash o suma de comprobación de 3 bytes de una clave que se genera cuando el HSM importa o genera una clave. También puede calcular un KCV fuera del HSM, por ejemplo, después de exportar una clave. A continuación, puede comparar los valores del KCV para confirmar la identidad e integridad de la clave. Para obtener el KCV (valor de control de la clave), utilice [getAttribute](key_mgmt_util-getAttribute.md).
AWS CloudHSM utiliza el siguiente método estándar para generar un valor de comprobación de claves:
+ **Claves simétricas**: los primeros 3 bytes del resultado obtenido al cifrar un bloque cero con la clave.
+ **Pares de claves asimétricas**: los primeros 3 bytes del hash SHA-1 de la clave pública.
+ **Claves HMAC**: por el momento, no se admite el uso del KCV con claves HMAC.
Obligatorio: no
## Output
El resultado de **findKey** muestra el número total de claves coincidentes y sus identificadores de clave
```
Command: findKey
Total number of keys present 10
number of keys matched from start index 0::9
6, 7, 8, 9, 10, 11, 262156, 262157, 262158, 262159
Cluster Error Status
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
```
## Temas relacionados
+ [findSingleKey](key_mgmt_util-findSingleKey.md)
+ [getKeyInfo](key_mgmt_util-getKeyInfo.md)
+ [getAttribute](key_mgmt_util-getAttribute.md)
+ [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md)en cloudhsm\$1mgmt\$1util
+ [Referencia de los atributos de claves](key-attribute-table.md)
# Verificar una AWS CloudHSM clave mediante KMU
Utilice el **findSingleKey** comando de la herramienta AWS CloudHSM key\$1mgmt\$1util para comprobar que existe una clave en todos los módulos de seguridad de hardware (HSM) del clúster. AWS CloudHSM
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
## Sintaxis
```
findSingleKey -h
findSingleKey -k
```
## Ejemplo
**Example**
Este comando comprueba que la clave `252136` existe en los tres elementos del clúster. HSMs
```
Command: findSingleKey -k 252136
Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS
Cluster Error Status
Node id 2 and err state 0x00000000 : HSM Return: SUCCESS
Node id 1 and err state 0x00000000 : HSM Return: SUCCESS
Node id 0 and err state 0x00000000 : HSM Return: SUCCESS
```
## Parameters
**-h**
Muestra ayuda para el comando.
Obligatorio: sí
**-k**
Especifica el identificador de una clave en el HSM. Este parámetro es obligatorio.
Para buscar identificadores de clave, use el comando [findKey](key_mgmt_util-listUsers.md).
Obligatorio: sí
## Temas relacionados
+ [findKey](key_mgmt_util-listUsers.md)
+ [getKeyInfo](key_mgmt_util-listUsers.md)
+ [getAttribute](key_mgmt_util-findKey.md)
# Genere un key pair de AWS CloudHSM DSA mediante KMU
Utilice el **genDSAKeyPair** comando de la herramienta AWS CloudHSM key\$1mgmt\$1util para generar un par de claves del algoritmo de [firma digital (DSA](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm)) en los módulos de seguridad de hardware (HSM). Debe especificar la longitud del módulo; el comando genera el valor del módulo. También puede asignar un ID, compartir la clave con otros usuarios del HSM, crear claves no extraíbles y claves que caduquen cuando la sesión finaliza. Cuando el comando se ejecuta correctamente, devuelve *identificadores de clave* que el HSM asigna a las claves públicas y privadas. Puede utilizar estos identificadores de clave para identificar las claves ante otros comandos.
Antes de ejecutar cualquier comando de key\$1mgmt\$1util, debe [iniciar key\$1mgmt\$1util](key_mgmt_util-setup.md#key_mgmt_util-start) e [lniciar sesión](key_mgmt_util-log-in.md) en el HSM como usuario de criptografía (CU).
**sugerencia**
Para buscar los atributos de una clave que haya creado, como tipo, longitud, etiqueta e ID, use [getAttribute](key_mgmt_util-getAttribute.md). Para buscar las claves de un usuario concreto, utilice. [getKeyInfo](key_mgmt_util-getKeyInfo.md) Para buscar claves en función de sus valores de atributo, use [findKey](key_mgmt_util-findKey.md).
## Sintaxis
```
genDSAKeyPair -h
genDSAKeyPair -m
-l