Problemi noti per AWS CloudHSM istanze hsm2m.medium

Impatto: l'accesso a hsm2m.medium segue un'interpretazione troppo rigida dei requisiti di conformità, con conseguente aumento della latenza.

Risoluzione: se hai creato una nuova istanza hsm2m.medium o sei migrato a hsm2m.medium da hsm1.medium prima del 20 dicembre 2025, dovrai reimpostare la password per sfruttare i miglioramenti delle prestazioni che abbiamo implementato per le operazioni di accesso. Modifica della password di un utente con CloudhSM CLIFai riferimento alla modifica della password per le istruzioni.

Impatto: l'istanza HSM hsm2m.medium ha migliorato l'architettura fair share, il che si traduce in prestazioni prevedibili più coerenti rispetto a hsm1.medium. Con hsm1.medium, i clienti potrebbero riscontrare prestazioni chiave di ricerca più elevate a causa dell'uso irregolare delle risorse HSM. Tuttavia, le prestazioni delle chiavi di ricerca di hsm1.medium diminuiranno quando l'istanza HSM viene patchata o aggiornata con un nuovo firmware. Questo problema riguarda operazioni come in JCE. KeyStore.getKey()

Risoluzione: questo problema è stato risolto. Come procedura consigliata, memorizza nella cache i risultati delle operazioni di ricerca chiave. La memorizzazione nella cache ridurrà il numero totale di operazioni di ricerca delle chiavi in quanto è un'operazione che richiede molte risorse in HSM. Inoltre, implementate i tentativi sul lato client con backoff e jitter esponenziali per ridurre gli errori di limitazione dell'HSM.

Impatto: qualsiasi utente CO che tenti di impostare l'attributo trusted di una chiave riceverà un errore che lo indica. User type should be CO or CU

Risoluzione: le versioni future di Client SDK risolveranno questo problema. Gli aggiornamenti verranno annunciati nella nostra guida per l'utente. Cronologia dei documenti

Impatto: l'operazione di verifica ECDSA eseguita per gli HSM in modalità FIPS avrà esito negativo.

Stato della risoluzione: questo problema è stato risolto nella versione client SDK 5.13.0. È necessario eseguire l'aggiornamento a questa versione del client o a una versione successiva per beneficiare della correzione.

Impatto: i certificati in formato DER non possono essere registrati come trust anchor MTL con CloudHSM CLI.

Soluzione alternativa: puoi convertire un certificato in formato DER in formato PEM con il comando openssl: openssl x509 -inform DER -outform PEM -in certificate.der -out certificate.pem

Impatto: tutte le operazioni eseguite dall'applicazione verranno interrotte e all'utente verrà richiesta la passphrase sullo standard input più volte per tutta la durata dell'applicazione. Le operazioni scadranno e falliranno se la passphrase non viene fornita prima della durata del timeout dell'operazione.

Soluzione alternativa: le chiavi private crittografate con passphrase non sono supportate per gli MTL. Rimuovi la crittografia con passphrase dalla chiave privata del client

Impatto: la replica degli utenti non riesce nelle istanze hsm2m.medium quando si utilizza la CLI CloudHSM. Il comando funziona come previsto sulle istanze hsm1.medium. user replicate

Risoluzione: questo problema è stato risolto.

Impatto: operazioni come la generazione di numeri casuali possono fallire sulle istanze hsm2m.medium mentre AWS CloudHSM crea un backup.

Risoluzione: per ridurre al minimo le interruzioni del servizio, implementa queste best practice:

Per ulteriori informazioni sulle best practice, vedereLe migliori pratiche per AWS CloudHSM.

Impatto: Client SDK 5.8 e versioni successive non riproveranno alcune operazioni HSM con limitazioni

Soluzione alternativa: segui le best practice per progettare il cluster in modo da gestire il caricamento e implementare i tentativi a livello di applicazione. Attualmente stiamo lavorando a una soluzione. Gli aggiornamenti saranno annunciati nella nostra guida per l'utenteCronologia dei documenti.

Stato della risoluzione: questo problema è stato risolto nel AWS CloudHSM Client SDK 5.16.2. È necessario eseguire l'aggiornamento a questa versione del client o successiva per beneficiare della correzione.

Impatto: quando si utilizza un AES/CBC meccanismo per decomprimere le chiavi utilizzando il provider AWS CloudHSM JCE, le operazioni con un IV a riempimento zero a 16 byte non riescono sulle istanze hsm2m.medium, a causa di un ulteriore controllo di convalida che non era presente nelle istanze hsm1.medium.

Stato della risoluzione: stiamo lavorando a una soluzione che consentirà l'accettazione di IV a zero byte durante le operazioni di unwrapping. AES/CBC

Impatto: questo problema riguarda gli avviamenti a freddo, ad esempio le distribuzioni o i riavvii delle applicazioni client. L'istanza HSM hsm2m.medium ha migliorato l'architettura fair share che garantisce prestazioni, throughput e latenza più coerenti per tutti i clienti. Attualmente su hsm1.medium, è possibile osservare prestazioni superiori a quelle previste per l'inizializzazione simultanea della connessione HSM. Tuttavia, le prestazioni di inizializzazione della connessione hsm1.medium varieranno in base agli aggiornamenti di sistema sottostanti.

Risoluzione: segui le best practice e scagliona le distribuzioni e i riavvii delle applicazioni client per limitare il numero di applicazioni client che inizializzano le connessioni HSM contemporaneamente. Si consiglia inoltre di implementare i tentativi a livello di applicazione per l'inizializzazione delle applicazioni client. Inoltre, esegui il bootstrap utilizzando configure tool with --cluster-id <cluster ID> per aggiungere tutti gli IP HSM al file di configurazione del client. Questo comportamento è stato migliorato nella versione 5.17.1 e successive di AWS CloudHSM Client SDK. Ti consigliamo di eseguire l'aggiornamento alla versione SDK più recente per beneficiare di questo miglioramento.