CloudHSM CLI を使用して非対称キーを生成する - AWS CloudHSM
RSA キーの生成

CloudHSM CLI を使用して非対称キーを生成する

CloudHSM CLI の generate-asymmetric-pair カテゴリ にリストされているコマンドを使用して、AWS CloudHSM クラスターの非対称キー ペアを生成します。

RSA キーの生成

key generate-asymmetric-pair rsa コマンドを使用して RSA キーペアを生成します 利用可能なオプションをすべて確認するには、help key generate-asymmetric-pair rsa コマンドを使用します。

次の例では、RSA 2,048 ビットのキーペアが生成されます。

aws-cloudhsm > key generate-asymmetric-pair rsa \
    --public-exponent 65537 \
    --modulus-size-bits 2048 \
    --public-label rsa-public-example \
    --private-label rsa-private-example

引数

<PUBLIC_LABEL>

パブリックキーのユーザー定義ラベルを指定します。

必須: はい

<PRIVATE_LABEL>

プライベートキーのユーザー定義ラベルを指定します。

必須: はい

<MODULUS_SIZE_BITS>

モジュラスの長さをビット単位で指定します。最小値は 2,048 です。

必須: はい

<PUBLIC_EXPONENT>

パブリック指数を指定します。値は、65537 以上の奇数にする必要があります

必須: はい

<PUBLIC_KEY_ATTRIBUTES>

KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE 形式で生成された RSA パブリックキーに設定するキー属性のスペース区切りリストを指定します (例: sign=true)。

サポートされている AWS CloudHSM キー属性のリストについては、「CloudHSM CLI のキー属性」を参照してください。

必須: いいえ

<SESSION>

現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。

セッションキーを永続(トークン)キーに変更するには、key set-attribute を使用します。

デフォルトでは、生成されるキーは永続/トークンキーです。<SESSION> を使用するとこれは変更され、この引数で生成されたキーがセッション/エフェメラルであることが保証されます

必須: いいえ

EC (楕円曲線暗号) キーペアの生成

key generate-asymmetric-pair ec コマンドを使用して EC キーペアを生成します。サポートされている楕円曲線のリストを含め、利用可能なオプションをすべて確認するには、help key generate-asymmetric-pair ec コマンドを使用します。

次の例では、Secp384r1 楕円曲線 を使用して EC キーペアを生成します。

aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp384r1 \
    --public-label ec-public-example \
    --private-label ec-private-example

引数

<PUBLIC_LABEL>

パブリックキーのユーザー定義ラベルを指定します。label に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。

必須: はい

<PRIVATE_LABEL>

プライベートキーのユーザー定義ラベルを指定します。label に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。

必須: はい

<CURVE>

楕円曲線の識別子を指定します。

有効な値:

  • prime256v1

  • secp256r1

  • secp224r1

  • secp384r1

  • secp256k1

  • secp521r1

必須: はい

<PUBLIC_KEY_ATTRIBUTES>

KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE 形式で生成された EC パブリックキーに設定するキー属性のスペース区切りリストを指定します (例: verify=true)。

サポートされている AWS CloudHSM キー属性のリストについては、「CloudHSM CLI のキー属性」を参照してください。

必須: いいえ

<PRIVATE_KEY_ATTRIBUTES>

KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE 形式で生成された EC プライベートキーに設定するキー属性のスペース区切りリストを指定します (例: sign=true)。

サポートされている AWS CloudHSM キー属性のリストについては、「CloudHSM CLI のキー属性」を参照してください。

必須: いいえ

<SESSION>

現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。

セッションキーを永続(トークン)キーに変更するには、key set-attribute を使用します。

デフォルトでは、生成されるキーは永続 (トークン) キーです。<SESSION> で渡すことでこれが変わり、この引数で生成されたキーがセッション (エフェメラル) キーであることが保証されます。

必須: いいえ