翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# CloudHSM CLI のキーカテゴリ
<a name="cloudhsm_cli-key"></a>

CloudHSM CLI では、**key** はコマンドのグループの親カテゴリであり、親カテゴリと組み合わせると、キーに固有のコマンドが作成されます。現在、このカテゴリは次のコマンドで構成されています。
+ [削除](cloudhsm_cli-key-delete.md)
+ [generate-file](cloudhsm_cli-key-generate-file.md)
+ [key generate-asymmetric-pair](cloudhsm_cli-key-generate-asymmetric-pair.md)
  + [key generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md)
  + [key generate-asymmetric-pair ec](cloudhsm_cli-key-generate-asymmetric-pair-ec.md)
+ [key generate-symmetric](cloudhsm_cli-key-generate-symmetric.md)
  + [key generate-symmetric aes](cloudhsm_cli-key-generate-symmetric-aes.md)
  + [key generate-symmetric generic-secret](cloudhsm_cli-key-generate-symmetric-generic-secret.md)
+ [import pem](cloudhsm_cli-key-import-pem.md)
+ [リスト](cloudhsm_cli-key-list.md)
+ [レプリケーション](cloudhsm_cli-key-replicate.md)
+ [セットの属性](cloudhsm_cli-key-set-attribute.md)
+ [使用](cloudhsm_cli-key-share.md)
+ [unshare](cloudhsm_cli-key-unshare.md)
+ [unwrap](cloudhsm_cli-key-unwrap.md)
+ [wrap](cloudhsm_cli-key-wrap.md)

# CloudHSM CLI でキーを削除する
<a name="cloudhsm_cli-key-delete"></a>

CloudHSM CLI の **key delete** コマンドを使用して、 AWS CloudHSM クラスターからキーを削除します。一度に削除できるキーは 1 つだけです。キーペアの一方のキーを削除しても、ペアの他方のキーには影響がありません。

キーを作成し、そのキーを所有している CU のみがキーを削除できます。キーを共有しているが所有者ではないユーザーは、暗号化オペレーションでキーを使用できますが、削除することはできません。

## ユーザーのタイプ
<a name="key-delete-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-delete-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="key-delete-syntax"></a>

```
aws-cloudhsm > help key delete
Delete a key in the HSM cluster

Usage: key delete [OPTIONS] --filter [<FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>  Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]     Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for deletion
  -h, --help                     Print help
```

## 例
<a name="key-delete-examples"></a>

```
aws-cloudhsm > key delete --filter attr.label="ec-test-public-key"
{
  "error_code": 0,
  "data": {
    "message": "Key deleted successfully"
  }
}
```

## 引数
<a name="key-delete-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを削除対象として選択します。  
サポートされている CloudHSM CLI キー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください  
必須: はい

## 関連トピック
<a name="key-delete-seealso"></a>
+ [CloudHSM CLI でユーザーのキーを一覧表示する](cloudhsm_cli-key-list.md)
+ [CloudHSM CLI で非対称キーをエクスポートする](cloudhsm_cli-key-generate-file.md)
+ [CloudHSM CLI を使用してキーの共有を解除する](cloudhsm_cli-key-unshare.md)
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI で非対称キーをエクスポートする
<a name="cloudhsm_cli-key-generate-file"></a>

CloudHSM CLI の **key generate-file** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) から非対称キーをエクスポートします。ターゲットがプライベートキーの場合、プライベートキーへの参照はフェイク PEM 形式でエクスポートされます。ターゲットがパブリックキーの場合、パブリックキーバイトは PEM 形式でエクスポートされます。

フェイク PEM ファイルは、実際のプライベートキーマテリアルを含むわけではなく、HSM のプライベートキーを参照するため、ウェブサーバーから AWS CloudHSMへの SSL/TLS オフロードを確立するために使用できます。詳細については、「[SSL/TLS オフロード](ssl-offload.md)」を参照してください。

## ユーザーのタイプ
<a name="key-generate-file-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-generate-file-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="key-generate-file-syntax"></a>

```
aws-cloudhsm > help key generate-file
Generate a key file from a key in the HSM cluster. This command does not export any private key data from the HSM

Usage: key generate-file --encoding <ENCODING> --path <PATH> --filter [<FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --encoding <ENCODING>
          Encoding format for the key file

          Possible values:
          - reference-pem: PEM formatted key reference (supports private keys)
          - pem:           PEM format (supports public keys)

      --path <PATH>
          Filepath where the key file will be written

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for file generation

  -h, --help
          Print help (see a summary with '-h')
```

## 例
<a name="key-generate-file-examples"></a>

この例では、 **key generate-file** を使用して AWS CloudHSM クラスターにキーファイルを生成する方法を示します。

**Example**  

```
aws-cloudhsm > key generate-file --encoding reference-pem --path /tmp/ec-private-key.pem --filter attr.label="ec-test-private-key"
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

## 引数
<a name="key-generate-file-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを削除対象として選択します。  
サポートされている CloudHSM CLI キー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください  
必須: いいえ

***<ENCODING>***  
キーファイルのエンコード形式を指定します  
必須: はい

***<PATH>***  
キーファイルが書き込まれるファイルパスを指定します  
必須: はい

## KSP キー参照を生成します (Windows)
<a name="key-generate-ksp-key-reference"></a>

**注記**  
この機能は、SDK バージョン 5.16.0 以降でのみ使用できます。

### 前提条件
<a name="key-generate-ksp-key-reference-requirements"></a>
+ KSP キー参照は Windows プラットフォームでのみ生成できます。
+ Crypto User (CU) としてサインインする必要があります。

### ファイルの場所
<a name="key-generate-ksp-key-reference-options"></a>

デフォルトでは、AWS CloudHSM は生成されたファイルを `C:\Users\Default\AppData\Roaming\Microsoft\Crypto\CaviumKSP\GlobalPartition` に保存します。

別の場所を指定するには、`--path` パラメータを使用します。

### 構文
<a name="key-generate-ksp-key-reference-syntax"></a>

```
aws-cloudhsm > help key generate-file --encoding ksp-key-reference 
Generate a key file from a key in the HSM cluster. This command does not export any private key data from the HSM

Usage: key generate-file --encoding <ENCODING> --path <PATH> --filter [<FILTER>...]

Options:
      --encoding <ENCODING>
        Encoding format for the key file

        Possible values:
        - reference-pem:     PEM formatted key reference (supports private keys)
        - pem:               PEM format (supports public keys)
        - ksp-key-reference: KSP key reference format

      --cluster-id <CLUSTER_ID>
        Unique Id to choose which of the clusters in the config file to run the operation against. If not provided with multiple clusters configured, will error

      --path <PATH>
        Directory path where the key file will be written

      --filter [<FILTER>...]
        Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for file generation

      --all
        Generate ksp key reference for all available key pairs in HSM

  -h, --help
        Print help (see a summary with '-h')
```

### 例 – プライベートキーの属性フィルターを使用して KSP キー参照を生成する
<a name="key-generate-ksp-key-reference-example1"></a>

次の例では、特定のラベルを持つプライベートキーの KSP キー参照を生成します。

**Example**  

```
aws-cloudhsm > key generate-file --encoding ksp-key-reference --path  --filter attr.label="ec-test-private-key"
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

### 例 – すべてのキーペアの KSP キー参照を生成する
<a name="key-generate-ksp-key-reference-example2"></a>

次の例では、クラスター内のすべてのキーペアの KSP キー参照を生成します。

**Example**  

```
aws-cloudhsm > key generate-file --encoding ksp-key-reference --all
{
  "error_code": 0,
  "data": {
    "message": "Successfully generated key file"
  }
}
```

## 関連トピック
<a name="key-generate-file-seealso"></a>
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)
+ [CloudHSM CLI の generate-asymmetric-pair カテゴリ](cloudhsm_cli-key-generate-asymmetric-pair.md)
+ [CloudHSM CLI の generate-symmetric カテゴリ](cloudhsm_cli-key-generate-symmetric.md)

# CloudHSM CLI の generate-asymmetric-pair カテゴリ
<a name="cloudhsm_cli-key-generate-asymmetric-pair"></a>

CloudHSM CLI では、**key generate-asymmetric-pair** はコマンドグループの親カテゴリで、親カテゴリと組み合わせると非対称キーペアを生成するコマンドを作成します。現在、このカテゴリは次のコマンドで構成されています。
+ [key generate-asymmetric-pair ec](cloudhsm_cli-key-generate-asymmetric-pair-ec.md)
+ [key generate-asymmetric-pair rsa](cloudhsm_cli-key-generate-asymmetric-pair-rsa.md)

# CloudHSM CLI を使用して非対称 EC キーペアを生成する
<a name="cloudhsm_cli-key-generate-asymmetric-pair-ec"></a>

CloudHSM CLI の **key asymmetric-pair ec** コマンドを使用して、 AWS CloudHSM クラスターに非対称楕円曲線 (EC) キーペアを生成します。

## ユーザーのタイプ
<a name="key-generate-asymmetric-pair-ec-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-generate-asymmetric-pair-ec-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="key-generate-asymmetric-pair-ec-syntax"></a>

```
aws-cloudhsm > help key generate-asymmetric-pair ec
Generate an Elliptic-Curve Cryptography (ECC) key pair

Usage: key generate-asymmetric-pair ec [OPTIONS] --public-label <PUBLIC_LABEL> --private-label <PRIVATE_LABEL> --curve <CURVE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --public-label <PUBLIC_LABEL>
          Label for the public key
      --private-label <PRIVATE_LABEL>
          Label for the private key
      --session
          Creates a session key pair that exists only in the current session. The key cannot be recovered after the session ends
      --curve <CURVE>
          Elliptic curve used to generate the key pair [possible values: prime256v1, secp256r1, secp224r1, secp384r1, secp256k1, secp521r1, ed25519]
      --public-attributes [<PUBLIC_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated EC public key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --private-attributes [<PRIVATE_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated EC private key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the EC private key with
      --manage-private-key-quorum-value <MANAGE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key management operations for the private key
      --use-private-key-quorum-value <USE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations for the private key
  -h, --help
          Print help
```

## 例
<a name="key-generate-asymmetric-pair-ec-examples"></a>

以下の例では、**key generate-asymmetric-pair ec** コマンドを使用して EC キーペアを作成する方法を示します。

**Example 例: EC キーペアの作成**  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x000000000012000b",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xd7c1a7",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x047096513df542250a6b228fd9cb67fd0c903abc93488467681974d6f371083fce1d79da8ad1e9ede745fb9f38ac8622a1b3ebe9270556000c",
        "curve": "secp224r1"
      }
    },
"private_key": {
      "key-reference": "0x000000000012000c",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xd7c1a7",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x047096513df542250a6b228fd9cb67fd0c903abc93488467681974d6f371083fce1d79da8ad1e9ede745fb9f38ac8622a1b3ebe9270556000c",
        "curve": "secp224r1"
      }
    }
  }
}
```

**Example 例: オプションの属性を持つ EC キーペア作成**  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example \
    --public-attributes encrypt=true \
    --private-attributes decrypt=true
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x00000000002806eb",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "public-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280c82",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "private-key",
        "encrypt": false,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    }
  }
}
```

**Example 例: クォーラム値を持つ EC キーペア作成**  
クォーラム制御を使用してキーを生成する場合、キーには、キーの最大クォーラム値と同じ数以上のユーザーを関連付ける必要があります。関連付けられるユーザーには、キー所有者と、そのキーが共有されている Crypto User が含まれます。キーを共有すべき最小ユーザー数を決定するには、キー使用クォーラム値とキー管理クォーラム値のうち大きい方のクォーラム値を取得し、デフォルトでキーに関連付けられているキー所有者を考慮して 1 を差し引きます。キーをさらに多くのユーザーと共有するには、**[CloudHSM CLI を使用してキーを共有する](cloudhsm_cli-key-share.md)** コマンドを使用します。  

```
aws-cloudhsm > key generate-asymmetric-pair ec \
    --curve secp224r1 \
    --public-label ec-public-key-example \
    --private-label ec-private-key-example \
    --public-attributes verify=true \
    --private-attributes sign=true
    --share-crypto-users cu2 cu3 cu4 \
    --manage-private-key-quorum-value 4 \
    --use-private-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x00000000002806eb",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-public-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 57,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280c82",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "ec",
        "label": "ec-private-key-example",
        "id": "",
        "check-value": "0xedef86",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 122,
        "ec-point": "0x0487af31882189ec29eddf17a48e8b9cebb075b7b5afc5522fe9c83a029a450cc68592889a1ebf45f32240da5140d58729ffd7b2d44262ddb8",
        "curve": "secp224r1"
      }
    }
  }
}
```

## 引数
<a name="key-generate-asymmetric-pair-ec-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<CURVE>***  
楕円曲線の識別子を指定します。  
+ prime256v1
+ secp256r1
+ secp224r1
+ secp384r1
+ secp256k1
+ secp521r1
+ ed25519 (非 FIPS モードの hsm2m.medium インスタンスでのみサポート)
必須: はい

***<PUBLIC\$1KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された EC パブリックキーに設定するキー属性のスペース区切りリストを指定します (例: `verify=true`)。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<PUBLIC\$1LABEL>***  
パブリックキーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<PRIVATE\$1KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された EC プライベートキーに設定するキー属性のスペース区切りリストを指定します (例: `sign=true`)。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<PRIVATE\$1LABEL>***  
プライベートキーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。  
このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。  
デフォルトでは、生成されるキーは永続 (トークン) キーです。<SESSION> で渡すことでこれが変わり、この引数で生成されたキーがセッション (エフェメラル) キーであることが保証されます。  
必須: いいえ

***<SHARE\$1CRYPTO\$1USERS>***  
EC プライベートキーを共有する Crypto User ユーザー名のスペース区切りリストを指定します。  
必須: いいえ

***<MANAGE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
プライベートキーのキー管理オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

***<USE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
プライベートキーのキー使用オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

## 関連トピック
<a name="key-generate-asymmetric-pair-ec-seealso"></a>
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI で非対称 RSA キーペアを生成する
<a name="cloudhsm_cli-key-generate-asymmetric-pair-rsa"></a>

CloudHSM CLI の **key generate-asymmetric-pair rsa** コマンドを使用して、 AWS CloudHSM クラスターに非対称 RSA キーペアを生成します。

## ユーザーのタイプ
<a name="key-generate-asymmetric-pair-rsa-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-generate-asymmetric-pair-rsa-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="key-generate-asymmetric-pair-rsa-syntax"></a>

```
aws-cloudhsm > help key generate-asymmetric-pair rsa
Generate an RSA key pair

Usage: key generate-asymmetric-pair rsa [OPTIONS] --public-label <PUBLIC_LABEL> --private-label <PRIVATE_LABEL> --modulus-size-bits <MODULUS_SIZE_BITS> --public-exponent <PUBLIC_EXPONENT>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --public-label <PUBLIC_LABEL>
          Label for the public key
      --private-label <PRIVATE_LABEL>
          Label for the private key
      --session
          Creates a session key pair that exists only in the current session. The key cannot be recovered after the session ends
      --modulus-size-bits <MODULUS_SIZE_BITS>
          Modulus size in bits used to generate the RSA key pair
      --public-exponent <PUBLIC_EXPONENT>
          Public exponent used to generate the RSA key pair
      --public-attributes [<PUBLIC_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated RSA public key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --private-attributes [<PRIVATE_KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated RSA private key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the RSA key with
      --manage-private-key-quorum-value <MANAGE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key management operations for the private key
      --use-private-key-quorum-value <USE_PRIVATE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations for the private key
  -h, --help
          Print help
```

## 例
<a name="key-generate-asymmetric-pair-rsa-examples"></a>

以下の例では、`key generate-asymmetric-pair rsa` を使用して RSA キーペアを作成する方法を示します。

**Example 例: RSA キーペアの作成**  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000160010",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x498e1f",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xdfca0669dc8288ed3bad99509bd21c7e6192661407021b3f4cdf4a593d939dd24f4d641af8e4e73b04c847731c6dbdff3385818e08dd6efcbedd6e5b130344968c
e89a065e7d1a46ced96b46b909db2ab6be871ee700fd0a448b6e975bb64cae77c49008749212463e37a577baa57ce3e574cb057e9db131e119badf50c938f26e8a5975c61a8ba7ffe7a1115a
bcebb7d20bd6df1948ae336ae23b52d73b7f3b6acc2543edb6358e08d326d280ce489571f4d34e316a2ea1904d513ca12fa04075fc09ad005c81b7345d7804ff24c45117f0a1020dca7794df037a10aadec8653473b2088711f7b7d8b58431654e14e31af0e00511da641058fb7475ffdbe60f",
        "modulus-size-bits": 2048
      }
    },
"private_key": {
      "key-reference": "0x0000000000160011",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x498e1f",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

**Example 例: オプションの属性を含む RSA キーペアの作成**  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example \
--public-attributes encrypt=true \
--private-attributes decrypt=true
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000280cc8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "public-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xb1d27e857a876f4e9fd5de748a763c539b359f937eb4b4260e30d1435485a732c878cdad9c72538e2215351b1d41358c9bf80b599c
73a80fdb457aa7b20cd61e486c326e2cfd5e124a7f6a996437437812b542e3caf85928aa866f0298580f7967ee6aa01440297d7308fdd9b76b70d1b67f12634d
f6e6296d6c116d5744c6d60d14d3bf3cb978fe6b75ac67b7089bafd50d8687213b31abc7dc1bad422780d29c851d5102b56f932551eaf52a9591fd8c43d81ecc
133022653225bd129f8491101725e9ea33e1ded83fb57af35f847e532eb30cd7e726f23910d2671c6364092e834697ec3cef72cc23615a1ba7c5e100156ae0ac
ac3160f0ca9725d38318b7",
        "modulus-size-bits": 2048
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280cc7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "private-key",
        "encrypt": false,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

**Example 例: クォーラム値を持つ RSA キーペア作成**  
クォーラム制御を使用してキーを生成する場合、キーには、キーの最大クォーラム値と同じ数以上のユーザーを関連付ける必要があります。関連付けられるユーザーには、キー所有者と、そのキーが共有されている Crypto User が含まれます。キーを共有すべき最小ユーザー数を決定するには、キー使用クォーラム値とキー管理クォーラム値のうち大きい方のクォーラム値を取得し、デフォルトでキーに関連付けられているキー所有者を考慮して 1 を差し引きます。キーをさらに多くのユーザーと共有するには、**[CloudHSM CLI を使用してキーを共有する](cloudhsm_cli-key-share.md)** コマンドを使用します。  

```
aws-cloudhsm > key generate-asymmetric-pair rsa \
--public-exponent 65537 \
--modulus-size-bits 2048 \
--public-label rsa-public-key-example \
--private-label rsa-private-key-example \
--public-attributes verify=true \
--private-attributes sign=true
--share-crypto-users cu2 cu3 cu4 \
--manage-private-key-quorum-value 4 \
--use-private-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "public_key": {
      "key-reference": "0x0000000000280cc8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-public-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0xb1d27e857a876f4e9fd5de748a763c539b359f937eb4b4260e30d1435485a732c878cdad9c72538e2215351b1d41358c9bf80b599c
73a80fdb457aa7b20cd61e486c326e2cfd5e124a7f6a996437437812b542e3caf85928aa866f0298580f7967ee6aa01440297d7308fdd9b76b70d1b67f12634d
f6e6296d6c116d5744c6d60d14d3bf3cb978fe6b75ac67b7089bafd50d8687213b31abc7dc1bad422780d29c851d5102b56f932551eaf52a9591fd8c43d81ecc
133022653225bd129f8491101725e9ea33e1ded83fb57af35f847e532eb30cd7e726f23910d2671c6364092e834697ec3cef72cc23615a1ba7c5e100156ae0ac
ac3160f0ca9725d38318b7",
        "modulus-size-bits": 2048
      }
    },
    "private_key": {
      "key-reference": "0x0000000000280cc7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "rsa-private-key-example",
        "id": "",
        "check-value": "0x01fe6e",
        "class": "private-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 1217,
        "public-exponent": "0x010001",
        "modulus": "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",
        "modulus-size-bits": 2048
      }
    }
  }
}
```

## 引数
<a name="key-generate-asymmetric-pair-rsa-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<MODULUS\$1SIZE\$1BITS>***  
 モジュラスの長さをビット単位で指定します。最小値は 2,048 です。  
必須: はい

***<PRIVATE\$1KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された RSA プライベートキーに設定するキー属性のスペース区切りリストを指定します (例: `sign=true`)。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<PRIVATE\$1LABEL>***  
 プライベートキーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<PUBLIC\$1EXPONENT>***  
パブリック指数を指定します。値は、65537 以上の奇数にする必要があります  
必須: はい

***<PUBLIC\$1KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された RSA パブリックキーに設定するキー属性のスペース区切りリストを指定します (例: `verify=true`)  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<PUBLIC\$1LABEL>***  
 パブリックキーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。  
このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。  
デフォルトでは、生成されるキーは永続 (トークン) キーです。<SESSION> で渡すことでこれが変わり、この引数で生成されたキーがセッション (エフェメラル) キーであることが保証されます。  
必須: いいえ

***<SHARE\$1CRYPTO\$1USERS>***  
RSAEC プライベートキーを共有する Crypto User ユーザー名のスペース区切りリストを指定します。  
必須: いいえ

***<MANAGE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
プライベートキーのキー管理オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

***<USE\$1PRIVATE\$1KEY\$1QUORUM\$1VALUE>***  
プライベートキーのキー使用オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

## 関連トピック
<a name="key-generate-asymmetric-pair-rsa-seealso"></a>
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI の generate-symmetric カテゴリ
<a name="cloudhsm_cli-key-generate-symmetric"></a>

CloudHSM CLI では、**key generate-symmetric** はコマンドグループの親カテゴリであり、親カテゴリと組み合わせると対称キーを生成するコマンドを作成します。現在、このカテゴリは次のコマンドで構成されています。
+ [key generate-symmetric aes](cloudhsm_cli-key-generate-symmetric-aes.md)
+ [key generate-symmetric generic-secret](cloudhsm_cli-key-generate-symmetric-generic-secret.md)

# CloudHSM CLI で対称 AES キーを生成する
<a name="cloudhsm_cli-key-generate-symmetric-aes"></a>

CloudHSM CLI の **key generate-symmetric aes** コマンドを使用して、 AWS CloudHSM クラスターに対称 AES キーを生成します。

## ユーザーのタイプ
<a name="key-generate-symmetric-aes-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-generate-symmetric-aes-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="key-generate-symmetric-aes-syntax"></a>

```
aws-cloudhsm > help key generate-symmetric aes
Generate an AES key

Usage: key generate-symmetric aes [OPTIONS] --label <LABEL> --key-length-bytes <KEY_LENGTH_BYTES>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --label <LABEL>
          Label for the key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --key-length-bytes <KEY_LENGTH_BYTES>
          Key length in bytes
      --attributes [<KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated AES key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the AES key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE>
          The quorum value for key management operations
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations
  -h, --help
          Print help
```

## 例
<a name="key-generate-symmetric-aes-examples"></a>

以下の例では、**key generate-symmetric aes** コマンドを使って AES キーを作成する方法を示します。

**Example 例: AES キーの作成**  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

**Example 例: オプションの属性を含む AES キーペアの作成**  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24 \
--attributes decrypt=true encrypt=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

**Example 例: クォーラム値を含む AES キーの作成**  
クォーラム制御を使用してキーを生成する場合、キーには、キーの最大クォーラム値と同じ数以上のユーザーを関連付ける必要があります。関連付けられるユーザーには、キー所有者と、そのキーが共有されている Crypto User が含まれます。キーを共有すべき最小ユーザー数を決定するには、キー使用クォーラム値とキー管理クォーラム値のうち大きい方のクォーラム値を取得し、デフォルトでキーに関連付けられているキー所有者を考慮して 1 を差し引きます。キーをさらに多くのユーザーと共有するには、**[CloudHSM CLI を使用してキーを共有する](cloudhsm_cli-key-share.md)** コマンドを使用します。  

```
aws-cloudhsm > key generate-symmetric aes \
--label example-aes \
--key-length-bytes 24 \
--attributes decrypt=true encrypt=true
--share-crypto-users cu2 cu3 cu4 \
--manage-key-quorum-value 4 \
--use-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e06bf",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-aes",
        "id": "",
        "check-value": "0x9b94bd",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": true,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 24
      }
    }
  }
}
```

## 引数
<a name="key-generate-symmetric-aes-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された AES キーに設定するキー属性のスペース区切りリストを指定します (例: `sign=true`)。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<KEY-LENGTH-BYTES>***  
キーの長さをバイト単位で指定します。  

有効な値:
+ 16、24、32
必須: はい

***<LABEL>***  
AES キーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。  
このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。  
デフォルトでは、生成されるキーは永続 (トークン) キーです。<SESSION> で渡すことでこれが変わり、この引数で生成されたキーがセッション (エフェメラル) キーであることが保証されます。  
必須: いいえ

***<SHARE\$1CRYPTO\$1USERS>***  
AES キーを共有する Crypto User ユーザー名のスペース区切りリストを指定します。  
必須: いいえ

***<MANAGE\$1KEY\$1QUORUM\$1VALUE>***  
キー管理オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

***<USE\$1KEY\$1QUORUM\$1VALUE>***  
キー使用オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

## 関連トピック
<a name="key-generate-symmetric-aes-seealso"></a>
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI で対称汎用シークレットキーを生成する
<a name="cloudhsm_cli-key-generate-symmetric-generic-secret"></a>

CloudHSM CLI の **key generate-symmetric generic-secret** コマンドを使用して、 AWS CloudHSM クラスターに対称汎用シークレットキーを生成します。

## ユーザーのタイプ
<a name="key-generate-symmetric-generic-secret-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="key-generate-symmetric-generic-secret-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="key-generate-symmetric-generic-secret-syntax"></a>

```
aws-cloudhsm > key help generate-symmetric generic-secret
Generate a generic secret key

Usage: key generate-symmetric generic-secret [OPTIONS] --label <LABEL> --key-length-bytes <KEY_LENGTH_BYTES>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --label <LABEL>
          Label for the key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --key-length-bytes <KEY_LENGTH_BYTES>
          Key length in bytes
      --attributes [<KEY_ATTRIBUTES>...]
          Space separated list of key attributes to set for the generated generic secret key in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE
      --share-crypto-users [<SHARE_CRYPTO_USERS>...]
          Space separated list of Crypto User usernames to share the generic secret key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE>
          The quorum value for key management operations
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE>
          The quorum value for key usage operations
  -h, --help
          Print help
```

## 例
<a name="key-generate-symmetric-generic-secret-examples"></a>

次の例は、**key generate-symmetric generic-secret** コマンドを使って汎用シークレットキーを作成する方法を示しています。

**Example 例: 汎用シークレットキー作成**  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

**Example 例: オプションの属性を持つ汎用シークレットキー作成**  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256 \
--attributes encrypt=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

**Example 例: クォーラム値を持つ汎用シークレットキー作成**  
クォーラム制御を使用してキーを生成する場合、キーには、キーの最大クォーラム値と同じ数以上のユーザーを関連付ける必要があります。関連付けられるユーザーには、キー所有者と、そのキーが共有されている Crypto User が含まれます。キーを共有すべき最小ユーザー数を決定するには、キー使用クォーラム値とキー管理クォーラム値のうち大きい方のクォーラム値を取得し、デフォルトでキーに関連付けられているキー所有者を考慮して 1 を差し引きます。キーをさらに多くのユーザーと共有するには、**[CloudHSM CLI を使用してキーを共有する](cloudhsm_cli-key-share.md)** コマンドを使用します。  

```
aws-cloudhsm > key generate-symmetric generic-secret \
--label example-generic-secret \
--key-length-bytes 256 \
--attributes encrypt=true
--share-crypto-users cu2 cu3 cu4 \
--manage-key-quorum-value 4 \
--use-key-quorum-value 2
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000002e08fd",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [
          {
            "username": "cu2",
            "key-coverage": "full"
          },
          {
            "username": "cu3",
            "key-coverage": "full"
          },
          {
            "username": "cu4",
            "key-coverage": "full"
          },
        ],
        "key-quorum-values": {
          "manage-key-quorum-value": 4,
          "use-key-quorum-value": 2
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "generic-secret",
        "label": "example-generic-secret",
        "id": "",
        "class": "secret-key",
        "encrypt": true,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 256
      }
    }
  }
}
```

## 引数
<a name="key-generate-symmetric-generic-secret-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式で生成された AES キーに設定するキー属性のスペース区切りリストを指定します (例: `sign=true`)。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

***<KEY-LENGTH-BYTES>***  
キーの長さをバイト単位で指定します。  

有効な値:
+ 1～800
必須: はい

***<LABEL>***  
汎用シークレットキーのユーザー定義ラベルを指定します。`label` に許可される最大サイズは、クライアント SDK 5.11 以降では 127 文字です。クライアント SDK 5.10 以前では、制限は 126 文字です。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するキーを作成します。セッション終了後、キーをリカバリすることはできません。  
このパラメータは、別のキーを暗号化してからすばやく復号化するラッピングキーなど、キーが短時間だけ必要な場合に使用します。セッション終了後に復号する必要がある可能性のあるデータを暗号化するためにセッションキーを使用しないでください。  
デフォルトでは、生成されるキーは永続 (トークン) キーです。<SESSION> で渡すことでこれが変わり、この引数で生成されたキーがセッション (エフェメラル) キーであることが保証されます。  
必須: いいえ

***<SHARE\$1CRYPTO\$1USERS>***  
汎用シークレットキーを共有する Crypto User ユーザー名のスペース区切りリスト。  
必須: いいえ

***<MANAGE\$1KEY\$1QUORUM\$1VALUE>***  
キー管理オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

***<USE\$1KEY\$1QUORUM\$1VALUE>***  
キー使用オペレーションのクォーラム値。この値は、キーが関連付けられているユーザーの数以下である必要があります。これには、そのキーが共有されているユーザーと、キー所有者が含まれます。最大値は 8 です。  
必須: いいえ

## 関連トピック
<a name="key-generate-symmetric-generic-secret-seealso"></a>
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI で PEM 形式キーをインポートする
<a name="cloudhsm_cli-key-import-pem"></a>

の **key import pem** コマンドを使用して AWS CloudHSM 、PEM 形式キーをハードウェアセキュリティモジュール (HSM) にインポートします。このコマンドを使用すると、HSM の外部で生成されたパブリックキーをインポートできます。

**注記**  
[CloudHSM CLI で非対称キーをエクスポートする](cloudhsm_cli-key-generate-file.md) コマンドを使用して、パブリックキーから標準 PEM ファイルを作成するか、プライベートキーから参照 PEM ファイルを作成します。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-import-pem-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-import-pem-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-import-pem-syntax"></a>

```
aws-cloudhsm > help key import pem
Import key from a PEM file

Usage: key import pem [OPTIONS] --path <PATH> --label <LABEL> --key-type-class <KEY_TYPE_CLASS>
Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --path <PATH>
          Path where the key is located in PEM format
      --label <LABEL>
          Label for the imported key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of the imported key [possible values: ec-public, rsa-public]
      --attributes [<IMPORT_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the imported key
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-import-pem-examples"></a>

この例では、**key import pem** コマンドを使用して、PEM 形式のファイルから RSA パブリックキーをインポートする方法を示しています。

**Example 例: RSA パブリックキーをインポートする**  

```
aws-cloudhsm > key import pem --path /home/example --label example-imported-key --key-type-class rsa-public
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001e08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",                                   
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "example-imported-key",
        "id": "0x",
        "check-value": "0x99fe93",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": false,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0x8e9c172c37aa22ed1ce25f7c3a7c936dadc532201400128b044ebb4b96│··3e4930ab910df5a2896eaeb8853cfea0e341227654a8337a7864cc8a87d136f006cfba9e68d0b329│··746c1ad60941668b18699fc8169ff1ec363d0d18292845b2454d6a0b8c5d111b79c047619d460cdf│··be59debbacb66b7abeaf3f3d35dd2b9cfa6b6b7b1258b6866cb4085ac749e9d8552b3a4509e1b86c│··828cc794e22767b4f6b5bc6ff5c96f4b7e60eab305d669cfa2197e85379cb35c659bb58fcd246d48│··d9f6a7f36063b42da025459275aa8e3abedad775387086bd6c198ded868403f4b87ffda5a2d455ac│··aa6cbd00003c31d8d2f51d10cd272b31cf0c4037791f48ad51fb35",
        "modulus-size-bits": 2048
      }
    },
    "message": "Successfully imported key"
  }
}
```

**Example 例: オプションの属性を含む RSA パブリックキーをインポートする**  

```
aws-cloudhsm > key import pem --path /home/example --label example-imported-key-with-attributes --key-type-class rsa-public --attributes verify=true
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001e08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",                                      
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "rsa",
        "label": "example-imported-key-with-attributes",
        "id": "0x",
        "check-value": "0x99fe93",
        "class": "public-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": false,
        "sign": false,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 512,
        "public-exponent": "0x010001",
        "modulus": "0x8e9c172c37aa22ed1ce25f7c3a7c936dadc532201400128b044ebb4b96│··3e4930ab910df5a2896eaeb8853cfea0e341227654a8337a7864cc8a87d136f006cfba9e68d0b329│··746c1ad60941668b18699fc8169ff1ec363d0d18292845b2454d6a0b8c5d111b79c047619d460cdf│··be59debbacb66b7abeaf3f3d35dd2b9cfa6b6b7b1258b6866cb4085ac749e9d8552b3a4509e1b86c│··828cc794e22767b4f6b5bc6ff5c96f4b7e60eab305d669cfa2197e85379cb35c659bb58fcd246d48│··d9f6a7f36063b42da025459275aa8e3abedad775387086bd6c198ded868403f4b87ffda5a2d455ac│··aa6cbd00003c31d8d2f51d10cd272b31cf0c4037791f48ad51fb35",
        "modulus-size-bits": 2048
      }
    },
    "message": "Successfully imported key"
  }
}
```

## 引数
<a name="cloudhsm_cli-key-import-pem-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PATH>***  
キーファイルがあるファイルパスを指定します。  
必須: はい

***<LABEL>***  
インポートされたキーのユーザー定義ラベルを指定します。`label` の最大長は 126 文字です。  
必須: はい

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス。  
使用できる値:  
+ ec-public
+ rsa-public
必須: はい

***<IMPORT\$1KEY\$1ATTRIBUTES>***  
`KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式 (例: `sign=true`) でインポートされたキーに設定するキー属性のスペース区切りリストを指定します。サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: いいえ

## 関連トピック
<a name="cloudhsm_cli-key-import-pem-seealso"></a>
+ [CloudHSM CLI の暗号化署名カテゴリ](cloudhsm_cli-crypto-sign.md)
+ [CloudHSM CLI の暗号化検証カテゴリ](cloudhsm_cli-crypto-verify.md)

# CloudHSM CLI でユーザーのキーを一覧表示する
<a name="cloudhsm_cli-key-list"></a>

CloudHSM CLI の **key list** コマンドを使用して、 AWS CloudHSM クラスターに存在する現在のユーザーのすべてのキーを検索します。出力には、そのユーザーが所有および共有しているキーと、CloudHSM クラスターのすべてのパブリックキーが含まれます。

## ユーザーのタイプ
<a name="chsm-cli-key-list-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ 管理者 (CO)
+ Crypto User (CU)

## 構文
<a name="chsm-cli-key-list-syntax"></a>

```
aws-cloudhsm > help key list
List the keys the current user owns, shares, and all public keys in the HSM cluster

Usage: key list [OPTIONS]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select matching key(s) to list
      --max-items <MAX_ITEMS>
          The total number of items to return in the command's output. If the total number of items available is more than the value specified, a next-token is provided in the command's output. To resume pagination, provide the next-token value in the starting-token argument of a subsequent command [default: 10]
      --starting-token <STARTING_TOKEN>
          A token to specify where to start paginating. This is the next-token from a previously truncated response
  -v, --verbose
          If included, prints all attributes and key information for each matched key. By default each matched key only displays its key-reference and label attribute. This flag when used by Admins has no effect
  -h, --help
          Print help
```

## 例
<a name="chsm-cli-key-list-examples"></a>

次の例は、**key list** コマンドを実行するためのさまざまな方法を示しています。次の例は、Crypto User としての出力を示しています。

**Example 例: すべてのキーを検索 - デフォルト**  
このコマンドは、 AWS CloudHSM クラスターに存在するログインしているユーザーのキーを一覧表示します。  
デフォルトでは、現在ログインしているユーザーのキーは 10 個だけ表示され、出力には `key-reference` と `label` のみ表示されます。適切なページ分割オプションを使用して、出力として表示するキーの数を増やしたり減らしたりします。

```
aws-cloudhsm > key list
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x00000000000003d5",
        "attributes": {
          "label": "test_label_1"
        }
      },
      {
        "key-reference": "0x0000000000000626",
        "attributes": {
          "label": "test_label_2"
        }
      },.
      ...8 keys later...
    ],
    "total_key_count": 56,
    "returned_key_count": 10,
    "next_token": "10"
  }
}
```

**Example 例: すべてのキーを検索 - 詳細度**  
出力には、そのユーザーが所有および共有しているキーと、HSM のすべてのパブリックキーが含まれます。  
注: デフォルトでは、現在ログインしているユーザーのキーは 10 個だけ表示されます。適切なページ分割オプションを使用して、出力として表示するキーの数を増やしたり減らしたりします。

```
aws-cloudhsm > key list --verbose
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x000000000012000c",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "ec",
          "label": "ec-test-private-key",
          "id": "",
          "check-value": "0x2a737d",
          "class": "private-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": false,
          "trusted": false,
          "unwrap": false,
          "verify": false,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 122,
          "ec-point": "0x0442d53274a6c0ec1a23c165dcb9ccdd72c64e98ae1a9594bb5284e752c746280667e11f1e983493c1c605e0a8071ede47ca280f94c6b2aa33",
          "curve": "secp224r1"
        }
      },
      {
        "key-reference": "0x000000000012000d",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "ec",
          "label": "ec-test-public-key",
          "id": "",
          "check-value": "0x2a737d",
          "class": "public-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": false,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": false,
          "sign": false,
          "trusted": false,
          "unwrap": false,
          "verify": false,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 57,
          "ec-point": "0x0442d53274a6c0ec1a23c165dcb9ccdd72c64e98ae1a9594bb5284e752c746280667e11f1e983493c1c605e0a8071ede47ca280f94c6b2aa33",
          "curve": "secp224r1"
        }
      }
    ],
      ...8 keys later...
    "total_key_count": 1580,
    "returned_key_count": 10
  }
}
```

**Example 例: ページ分割されたリターン**  
次の例では、2 つのキーのみを表示するページ分割されたキーのサブセットを表示しています。次に、この例では次の 2 つのキーを表示する後続の呼び出しを行います。  

```
aws-cloudhsm > key list --verbose --max-items 2
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x0000000000000030",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "98a6688d1d964ed7b45b9cec5c4b1909",
          "id": "",
          "check-value": "0xb28a46",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      },
      {
        "key-reference": "0x0000000000000042",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "4ad6cdcbc02044e09fa954143efde233",
          "id": "",
          "check-value": "0xc98104",
          "class": "secret-key",
          "encrypt": true,
          "decrypt": true,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": true,
          "verify": true,
          "wrap": true,
          "wrap-with-trusted": false,
          "key-length-bytes": 16
        }
      }
    ],
    "total_key_count": 1580,
    "returned_key_count": 2,
    "next_token": "2"
  }
}
```
次の 2 つのキーを表示するには、後続の呼び出しを行います。  

```
aws-cloudhsm > key list --verbose --max-items 2 --starting-token 2
{
  "error_code": 0,
  "data": {
    "matched_keys": [
      {
        "key-reference": "0x0000000000000081",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "6793b8439d044046982e5b895791e47f",
          "id": "",
          "check-value": "0x3f986f",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      },
      {
        "key-reference": "0x0000000000000089",
        "key-info": {
          "key-owners": [
            {
              "username": "cu1",
              "key-coverage": "full"
            }
          ],
          "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
          "cluster-coverage": "full"
        },
        "attributes": {
          "key-type": "aes",
          "label": "56b30fa05c6741faab8f606d3b7fe105",
          "id": "",
          "check-value": "0xe9201a",
          "class": "secret-key",
          "encrypt": false,
          "decrypt": false,
          "token": true,
          "always-sensitive": true,
          "derive": false,
          "destroyable": true,
          "extractable": true,
          "local": true,
          "modifiable": true,
          "never-extractable": false,
          "private": true,
          "sensitive": true,
          "sign": true,
          "trusted": false,
          "unwrap": false,
          "verify": true,
          "wrap": false,
          "wrap-with-trusted": false,
          "key-length-bytes": 32
        }
      }
    ],
    "total_key_count": 1580,
    "returned_key_count": 2,
    "next_token": "4"
  }
}
```
CloudHSM CLI でキーフィルタリングメカニズムがどのように機能するかを示すその他の例については、[CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md) を参照してください。

## 引数
<a name="key-list-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキー (複数可) を一覧表示対象として選択します。  
サポートされている CloudHSM CLI キー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください  
必須: いいえ

***<MAX\$1ITEMS>***  
コマンドの出力で返される項目の総数。使用可能な項目の総数が指定された値を上回る場合、コマンドの出力で next-token が提供されます。ページ分割を再開するには、後続コマンドの starting-token 引数で next-token 値を指定します。  
必須: いいえ

***<STARTING\$1TOKEN>***  
ページ分割を始める場所を指定するトークン。これは、以前に切り詰められたレスポンスからの next-token です。  
必須: いいえ

***<VERBOSE>***  
含まれている場合は、一致した各キーのすべての属性とキー情報を出力します。デフォルトでは、一致した各キーには key-reference とラベル属性のみが表示されます。管理者が使用する場合、このフラグは効果がありません。  
必須: いいえ

## 関連トピック
<a name="chsm-key-list-seealso"></a>
+ [CloudHSM CLI でキーを削除する](cloudhsm_cli-key-delete.md)
+ [CloudHSM CLI で非対称キーをエクスポートする](cloudhsm_cli-key-generate-file.md)
+ [CloudHSM CLI を使用してキーの共有を解除する](cloudhsm_cli-key-unshare.md)
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)

# CloudHSM CLI でキーをレプリケートする
<a name="cloudhsm_cli-key-replicate"></a>

CloudHSM CLI の **key replicate** コマンドを使用して、ソース AWS CloudHSM クラスターから宛先 AWS CloudHSM クラスターにキーをレプリケートします。

## ユーザーのタイプ
<a name="chsm-cli-key-replicate-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ 管理者 (CO)
+ Crypto User (CU)
**注記**  
Crypto User は、このコマンドを使用するにはキーを所有している必要があります。

## 要件
<a name="cloudhsm_cli-key-replicate-requirements"></a>
+ 送信元クラスターと送信先クラスターはクローンである必要があります。つまり、一方が他方のバックアップから作成されたか、どちらも共通のバックアップから作成されたということです。詳細については「[バックアップからクラスターを作成する](create-cluster-from-backup.md)」を参照してください。
+ キーのオーナーは、送信先クラスターに存在する必要があります。さらに、キーを共有しているユーザーがいる場合、それらのユーザーも送信先クラスターに存在する必要があります。
+ このコマンドを実行するには、送信元クラスターと送信先クラスターの両方で、Crypto User または管理者としてログインしている必要があります。
  +  単一コマンドモードでは、コマンドは CLOUDHSM\$1PIN および CLOUDHSM\$1ROLE 環境変数を使用してソースクラスターで認証します。詳細については「[シングルコマンドモード](cloudhsm_cli-modes.md#cloudhsm_cli-mode-single-command)」を参照してください。送信先クラスターの認証情報を提供するには、DESTINATION\$1CLOUDHSM\$1PIN と DESTINATION\$1CLOUDHSM\$1ROLE の 2 つの追加の環境変数を設定する必要があります。

    ```
    $ export DESTINATION_CLOUDHSM_ROLE=<role>
    ```

    ```
    $ export DESTINATION_CLOUDHSM_PIN=<username:password>
    ```
  +  インタラクティブモードでは、ユーザーは送信元クラスターと送信先クラスターの両方に明示的にログインする必要があります。

## 構文
<a name="chsm-cli-key-replicate-syntax"></a>

```
aws-cloudhsm > help key replicate
Replicate a key from a source to a destination cluster

Usage: key replicate --filter [<FILTER>...] --source-cluster-id <SOURCE_CLUSTER_ID> --destination-cluster-id <DESTINATION_CLUSTER_ID>

Options:
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select matching key on the source cluster
      --source-cluster-id <SOURCE_CLUSTER_ID>
          Source cluster ID
      --destination-cluster-id <DESTINATION_CLUSTER_ID>
          Destination cluster ID
  -h, --help
          Print help
```

## 例
<a name="chsm-cli-key-replicate-examples"></a>

**Example 例: キーをレプリケートする**  
このコマンドは、送信元のクラスターから送信先クラスター (クローン) にキーをレプリケートします。以下の例は、両方のクラスターに Crypto User としてログインしたときの出力を示しています。  

```
crypto-user-1@cluster-1234abcdefg > key replicate \
      --filter attr.label=example-key \
      --source-cluster-id cluster-1234abcdefg \
      --destination-cluster-id cluster-2345bcdefgh
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x0000000000300006",
      "key-info": {
        "key-owners": [
          {
            "username": "crypto-user-1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "example-key",
        "id": "0x",
        "check-value": "0x5e118e",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": true,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": true,
        "modifiable": true,
        "never-extractable": true,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    },
    "message": "Successfully replicated key"
  }
}
```

## 引数
<a name="key-replicate-arguments"></a>

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを送信元クラスターで選択します。  
サポートされている CloudHSM CLI キー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください  
必須: はい

***<SOURCE\$1CLUSTER\$1ID>***  
送信元クラスターの ID。  
必須: はい

***<DESTINATION\$1CLUSTER\$1ID>***  
送信先クラスターの ID。  
必須: はい

## 関連トピック
<a name="chsm-key-replicate-seealso"></a>
+ [CloudHSM CLI を使用した複数のクラスターへの接続](cloudhsm_cli-configs-multi-cluster.md)

# CloudHSM CLI でキーの属性を設定する
<a name="cloudhsm_cli-key-set-attribute"></a>

CloudHSM CLI の **key set-attribute** コマンドを使用して、 AWS CloudHSM クラスター内のキーの属性を設定します。キーの属性を変更できるのは、キーを作成し、その結果キーを所有する CU のみです。

CloudHSM CLI で使用できる主な属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。

## ユーザーのタイプ
<a name="chsm-cli-key-set-attribute-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ このコマンドを実行できるのは Crypto User (CU) です。
+ 管理者は信頼できる属性を設定できます。

## 要件
<a name="chsm-cli-key-set-attribute-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。信頼できる属性を設定するには、管理者ユーザーとしてログインする必要があります。

## Syntax
<a name="chsm-cli-key-set-attribute-syntax"></a>

```
aws-cloudhsm > help key set-attribute
Set an attribute for a key in the HSM cluster

Usage: cloudhsm-cli key set-attribute [OPTIONS] --filter [<FILTER>...] --name <KEY_ATTRIBUTE> --value <KEY_ATTRIBUTE_VALUE>

Options:
      --cluster-id <CLUSTER_ID>         Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]            Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key to modify
      --name <KEY_ATTRIBUTE>            Name of attribute to be set
      --value <KEY_ATTRIBUTE_VALUE>...  Attribute value to be set
      --approval <APPROVAL>            Filepath of signed quorum token file to approve operation
  -h, --help                            Print help
```

## 例: キー属性の設定
<a name="chsm-cli-key-set-attribute-examples"></a>

次の例は、**key set-attribute** コマンドを使用してラベルを設定する方法を示しています。

**Example**  

1. 次に示すように、ラベル `my_key` の付いたキーを使用してください。

   ```
   aws-cloudhsm > key set-attribute --filter attr.label=my_key --name encrypt --value false
   {
     "error_code": 0,
     "data": {
       "message": "Attribute set successfully"
     }
   }
   ```

1. **key list** コマンドを使用して、`encrypt` 属性が変更されたことを確認します。

   ```
   aws-cloudhsm > key list --filter attr.label=my_key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000006400ec",
           "key-info": {
             "key-owners": [
               {
                 "username": "bob",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [],
           "key-quorum-values": {
             "manage-key-quorum-value": 0,
             "use-key-quorum-value": 0
           },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "aes",
             "label": "my_key",
             "id": "",
             "check-value": "0x6bd9f7",
             "class": "secret-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": true,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": true,
             "unwrap": true,
             "verify": true,
             "wrap": true,
             "wrap-with-trusted": false,
             "key-length-bytes": 32
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

## 引数
<a name="chsm-cli-key-set-attribute-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<KEY\$1ATTRIBUTE>***  
キーの属性の名前を指定します。  
必須: はい

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを削除対象として選択します。  
サポートされている CloudHSM CLI キー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください  
必須: いいえ

***<KEY\$1ATTRIBUTE\$1VALUE>***  
キーの属性の値を指定します。  
必須: はい

***<KEY\$1REFERENCE>***  
キーの 16 進数または 10 進数表現。 (キーハンドルなど)。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="chsm-cli-key-set-attribute-see-also"></a>
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)

# CloudHSM CLI を使用してキーを共有する
<a name="cloudhsm_cli-key-share"></a>

CloudHSM CLI の **key share** コマンドを使用して、 AWS CloudHSM クラスター内の他の CUs とキーを共有します。

キーを共有できるのは、キーを作成し、その結果キーを所有する CU のみです。キーを共有しているユーザーは、暗号化オペレーションでキーを使用できますが、キーを削除、エクスポート、共有、または共有解除することはできません。さらに、これらのユーザーは [キー属性](cloudhsm_cli-key-attributes.md) を変更できません。

## ユーザーのタイプ
<a name="chsm-cli-key-share-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="chsm-cli-key-share-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="chsm-cli-key-share-syntax"></a>

```
aws-cloudhsm > help key share
Share a key in the HSM cluster with another user

Usage: key share --filter [<FILTER>...] --username <USERNAME> --role <ROLE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for sharing

      --username <USERNAME>
          A username with which the key will be shared

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## 例: キーを別の CU と共有する
<a name="chsm-cli-key-share-examples"></a>

以下の例は、**key share** コマンドを使用して CU `alice` とキーを共有する方法を示します。

**Example**  

1. **key share** コマンドを実行して `alice` とキーを共有します。

   ```
   aws-cloudhsm > key share --filter attr.label="rsa_key_to_share" attr.class=private-key --username alice --role crypto-user
   {
     "error_code": 0,
     "data": {
       "message": "Key shared successfully"
     }
   }
   ```

1. **key list** コマンドを実行します。

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
               {
                 "username": "alice",
                 "key-coverage": "full"
               }
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "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",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

1. 上記のリストで、`alice` が `shared-users` のリストに含まれている事を検証します

## 引数
<a name="chsm-cli-key-share-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを削除対象として選択します。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: はい

***<USERNAME>***  
ユーザーのわかりやすい名前を指定します。最大長は 31 文字です。許可されている唯一の特殊文字はアンダースコア (\$1) です。このコマンドではユーザー名の大文字と小文字は区別されません。ユーザー名は常に小文字で表示されます。  
必須: はい

***<ROLE>***  
このユーザーに割り当てられるロールを指定します。このパラメータは必須です。ユーザーのロールを取得するには、ユーザーリストコマンドを使用します。HSM のユーザータイプの詳細については、「[CloudHSM CLI の HSM ユーザータイプ](understanding-users.md)」を参照してください。  
必須: はい

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="chsm-cli-key-share-see-also"></a>
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)

# CloudHSM CLI を使用してキーの共有を解除する
<a name="cloudhsm_cli-key-unshare"></a>

CloudHSM CLI の **key unshare** コマンドを使用して、 AWS CloudHSM クラスター内の他の CUs とキーの共有を解除します。

キーを共有解除できるのは、キーを作成し、その結果キーを所有する CU のみです。キーを共有しているユーザーは、暗号化オペレーションでキーを使用できますが、キーを削除、エクスポート、共有、または共有解除することはできません。さらに、これらのユーザーは [キー属性](cloudhsm_cli-key-attributes.md) を変更できません。

## ユーザーのタイプ
<a name="chsm-cli-key-unshare-user-type"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="chsm-cli-key-unshare-requirements"></a>

このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="chsm-cli-key-unshare-syntax"></a>

```
aws-cloudhsm > help key unshare
Unshare a key in the HSM cluster with another user

Usage: key unshare --filter [<FILTER>...] --username <USERNAME> --role <ROLE>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error

      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key for unsharing

      --username <USERNAME>
          A username with which the key will be unshared

      --role <ROLE>
          Role the user has in the cluster

          Possible values:
          - crypto-user: A CryptoUser has the ability to manage and use keys
          - admin:       An Admin has the ability to manage user accounts

      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation

  -h, --help
          Print help (see a summary with '-h')
```

## 例: 別の CU とのキーの共有を解除する
<a name="chsm-cli-key-share-examples"></a>

以下の例は、**key unshare** コマンドを使用して CU `alice` とのキーの共有を解除する方法を示しています。

**Example**  

1. **key list** コマンドを実行し、`alice` と共有を解除したい特定のキーでフィルタリングします。

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
               {
                 "username": "alice",
                 "key-coverage": "full"
               }
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "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",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

1. `shared-users` 出力に `alice` が含まれていることを確認し、次の **key unshare** コマンドを実行して `alice` とのキーの共有を解除します。

   ```
   aws-cloudhsm > key unshare --filter attr.label="rsa_key_to_share" attr.class=private-key --username alice --role crypto-user
   {
     "error_code": 0,
     "data": {
       "message": "Key unshared successfully"
     }
   }
   ```

1. `key list` コマンドをもう一度実行して、`alice` とキーが共有解除されたことを確認します。

   ```
   aws-cloudhsm > key list --filter attr.label="rsa_key_to_share" attr.class=private-key --verbose
   {
     "error_code": 0,
     "data": {
       "matched_keys": [
         {
           "key-reference": "0x00000000001c0686",
           "key-info": {
             "key-owners": [
               {
                 "username": "cu3",
                 "key-coverage": "full"
               }
             ],
             "shared-users": [
               {
                 "username": "cu2",
                 "key-coverage": "full"
               },
               {
                 "username": "cu1",
                 "key-coverage": "full"
               },
               {
                 "username": "cu4",
                 "key-coverage": "full"
               },
               {
                 "username": "cu5",
                 "key-coverage": "full"
               },
               {
                 "username": "cu6",
                 "key-coverage": "full"
               },
               {
                 "username": "cu7",
                 "key-coverage": "full"
               },
             ],
             "key-quorum-values": {
               "manage-key-quorum-value": 0,
               "use-key-quorum-value": 0
             },
             "cluster-coverage": "full"
           },
           "attributes": {
             "key-type": "rsa",
             "label": "rsa_key_to_share",
             "id": "",
             "check-value": "0xae8ff0",
             "class": "private-key",
             "encrypt": false,
             "decrypt": true,
             "token": true,
             "always-sensitive": true,
             "derive": false,
             "destroyable": true,
             "extractable": true,
             "local": true,
             "modifiable": true,
             "never-extractable": false,
             "private": true,
             "sensitive": true,
             "sign": true,
             "trusted": false,
             "unwrap": true,
             "verify": false,
             "wrap": false,
             "wrap-with-trusted": false,
             "key-length-bytes": 1219,
             "public-exponent": "0x010001",
             "modulus": "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",
             "modulus-size-bits": 2048
           }
         }
       ],
       "total_key_count": 1,
       "returned_key_count": 1
     }
   }
   ```

## 引数
<a name="chsm-cli-key-unshare-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。これに一致するキーを削除対象として選択します。  
サポートされているキー属性のリストについては、「[CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)」を参照してください。  
必須: はい

***<USERNAME>***  
ユーザーのわかりやすい名前を指定します。最大長は 31 文字です。許可されている唯一の特殊文字はアンダースコア (\$1) です。このコマンドではユーザー名の大文字と小文字は区別されません。ユーザー名は常に小文字で表示されます。  
必須: はい

***<ROLE>***  
このユーザーに割り当てられるロールを指定します。このパラメータは必須です。ユーザーのロールを取得するには、ユーザーリストコマンドを使用します。HSM のユーザータイプの詳細については、「[CloudHSM CLI の HSM ユーザータイプ](understanding-users.md)」を参照してください。  
必須: はい

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="chsm-cli-key-unshare-see-also"></a>
+ [CloudHSM CLI を使用してキーをフィルタリングする](manage-keys-cloudhsm-cli-filtering.md)
+ [CloudHSM CLI のキー属性](cloudhsm_cli-key-attributes.md)

# CloudHSM CLI のキーアンラップコマンド
<a name="cloudhsm_cli-key-unwrap"></a>

CloudHSM CLI の **key unwrap** 親コマンドは、暗号化された (ラップされた) 対称または非対称プライベートキーをファイルから HSM 内にインポートします。このコマンドは、[CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md) コマンドでラップされた暗号化されたキーをインポートするように設計されていますが、他のツールでラップされたキーをアンラップするためにも使用できます。ただし、このような場合は、PKCS\$111 または JCE ソフトウェアライブラリを使用して、キーをラップ解除することをお勧めします。
+ [aes-gcm](cloudhsm_cli-key-unwrap-aes-gcm.md)
+ [aes-no-pad](cloudhsm_cli-key-unwrap-aes-no-pad.md)
+ [aes-pkcs5-pad](cloudhsm_cli-key-unwrap-aes-pkcs5-pad.md)
+ [aes-zero-pad](cloudhsm_cli-key-unwrap-aes-zero-pad.md)
+ [cloudhsm-aes-gcm](cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm.md)
+ [rsa-aes](cloudhsm_cli-key-unwrap-rsa-aes.md)
+ [rsa-oaep](cloudhsm_cli-key-unwrap-rsa-oaep.md)
+ [rsa-pkcs](cloudhsm_cli-key-unwrap-rsa-pkcs.md)

# CloudHSM CLI を使用して AES-GCM でキーのラッピングを解除する
<a name="cloudhsm_cli-key-unwrap-aes-gcm"></a>

CloudHSM CLI の **key unwrap aes-gcm** コマンドを使用して、AES ラッピングキーと `AES-GCM` ラップ解除メカニズムを使用してペイロードキーのラップを解除してクラスターに入れます。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap aes-gcm** コマンドを使用するには、 AWS CloudHSM クラスターに AES ラッピングキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-aes-gcm-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-aes-gcm-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-gcm
Usage: key unwrap aes-gcm [OPTIONS] --filter [<FILTER>...] --tag-length-bits <TAG_LENGTH_BITS> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> --iv <IV> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --iv <IV>
          Initial value used to wrap the key, in hex
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-aes-gcm-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap aes-gcm** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --iv 0xf90613bb8e337ec0339aad21 --data xvslgrtg8kHzrvekny97tLSIeokpPwV8
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e4",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --iv 0xf90613bb8e337ec0339aad21 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e4",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<AAD>***  
AES GCM 追加認証データ (AAD) 値 (16 進数)。  
必須: いいえ

***<TAG\$1LENGTH\$1BITS>***  
AES GCM タグの長さ (ビット単位)。  
必須: はい

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<IV>***  
キーを 16 進数でラッピングするために使用される初期値。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-aes-gcm-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して AES-NO-PAD でキーのラッピングを解除する
<a name="cloudhsm_cli-key-unwrap-aes-no-pad"></a>

CloudHSM CLI の **key unwrap aes-no-pad** コマンドを使用して、AES ラップキーとラップ解除メカニズムを使用してペイロードキーを AWS CloudHSM クラスターにラップ`AES-NO-PAD`解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap aes-no-pad** コマンドを使用するには、 AWS CloudHSM クラスターに AES ラッピングキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-no-pad
Usage: key unwrap aes-no-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap aes-no-pad** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-no-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data eXK3PMAOnKM9y3YX6brbhtMoC060EOH9
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ec",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-no-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ec",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-aes-no-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して AES-PKCS5-PAD でキーのラッピングを解除する
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad"></a>

CloudHSM CLI の **key unwrap aes-pkcs5-pad** コマンドを使用して、AES ラッピングキーと `AES-PKCS5-PAD` ラップ解除メカニズムを使用してペイロードキーのラップを解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap aes-pkcs5-pad** コマンドを使用するには、 AWS CloudHSM クラスターに AES ラッピングキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-pkcs5-pad
Usage: key unwrap aes-pkcs5-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap aes-pkcs5-pad** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-pkcs5-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data MbuYNresfOKyGNnxKWen88nSfX+uUE/0qmGofSisicY=
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-pkcs5-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e3",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-aes-pkcs5-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して AES-ZERO-PAD でキーのラッピングを解除する
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad"></a>

CloudHSM CLI の **key unwrap aes-zero-pad** コマンドを使用して、AES ラップキーとラップ解除メカニズムを使用してペイロードキーを AWS CloudHSM クラスターにラップ`AES-ZERO-PAD`解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap aes-no-pad** コマンドを使用するには、 AWS CloudHSM クラスターに AES ラッピングキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-syntax"></a>

```
aws-cloudhsm > help key unwrap aes-zero-pad
Usage: key unwrap aes-zero-pad [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap aes-zero-pad** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-zero-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data L1wVlL/YeBNVAw6Mpk3owFJZXBzDLONt
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap aes-zero-pad --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08e7",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-aes-zero-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して CLOUDHSM-AES-GCM でキーのラッピングを解除する
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm"></a>

CloudHSM CLI の **key unwrap cloudhsm-aes-gcm** コマンドを使用して、AES ラップキーとラップ解除メカニズムを使用してペイロードキーを AWS CloudHSM クラスターにラップ`CLOUDHSM-AES-GCM`解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap cloudhsm-aes-gcm** コマンドを使用するには、 AWS CloudHSM クラスターに AES ラッピングキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key unwrap cloudhsm-aes-gcm
Usage: key unwrap cloudhsm-aes-gcm [OPTIONS] --filter [<FILTER>...] --tag-length-bits <TAG_LENGTH_BITS> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap cloudhsm-aes-gcm** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap cloudhsm-aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --data 6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001408e8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap cloudhsm-aes-gcm --key-type-class aes --label aes-unwrapped --filter attr.label=aes-example --tag-length-bits 64  --aad 0x10 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001408e8",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<AAD>***  
AES GCM 追加認証データ (AAD) 値 (16 進数)。  
必須: いいえ

***<TAG\$1LENGTH\$1BITS>***  
AES GCM タグの長さ (ビット単位)。  
必須: はい

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-cloudhsm-aes-gcm-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して RSA-AES でキーをアンラップする
<a name="cloudhsm_cli-key-unwrap-rsa-aes"></a>

CloudHSM CLI の **key unwrap rsa-aes** コマンドを使用して、RSA プライベートキーと `RSA-AES` ラップ解除メカニズムを使用してペイロードキーをラップ解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

を使用するには**key unwrap rsa-aes**、 AWS CloudHSM クラスターに RSA パブリックラッピングキーの RSA プライベートキーがあり、その`unwrap`属性を に設定する必要があります`true`。

**注記**  
このコマンドは、CloudHSM CLI 5.11 以降でのみ使用できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-rsa-aes-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-rsa-aes-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-unwrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-aes
Usage: key unwrap rsa-aes [OPTIONS] --filter [<FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-rsa-aes-examples"></a>

これらの例は、`unwrap` 属性値が `true` に設定された RSA プライベートキーを使用して **key unwrap rsa-aes** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-aes --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --hash-function sha256 --mgf mgf1-sha256 --data HrSE1DEyLjIeyGdPa9R+ebiqB5TIJGyamPker31ZebPwRA+NcerbAJO8DJ1lXPygZcI21vIFSZJuWMEiWpe1R9D/5WSYgxLVKex30xCFqebtEzxbKuv4DOmU4meSofqREYvtb3EoIKwjyxCMRQFgoyUCuP4y0f0eSv0k6rSJh4NuCsHptXZbtgNeRcR4botN7LlzkEIUcq4fVHaatCwd0J1QGKHKyRhkol+RL5WGXKe4nAboAkC5GO7veI5yHL1SaKlssSJtTL/CFpbSLsAFuYbv/NUCWwMY5mwyVTCSlw+HlgKK+5TH1MzBaSi8fpfyepLT8sHy2Q/VRl6ifb49p6m0KQFbRVvz/OWUd6l4d97BdgtaEz6ueg==
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e2",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-aes --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --hash-function sha256 --mgf mgf1-sha256 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e2",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<HASH\$1FUNCTION>***  
ハッシュ関数を指定します。  
有効な値:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
必須: はい

***<MGF>***  
マスク生成関数を指定します。  
マスク生成関数のハッシュ関数は、署名メカニズムのハッシュ関数と一致する必要があります。
有効な値:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-rsa-aes-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI で RSA-OAEP でキーをアンラップする
<a name="cloudhsm_cli-key-unwrap-rsa-oaep"></a>

CloudHSM CLI の **key unwrap rsa-oaep** コマンドを使用して、RSA プライベートキーと `RSA-OAEP` ラップ解除メカニズムを使用してペイロードキーをラップ解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

**key unwrap rsa-oaep** コマンドを使用するには、 AWS CloudHSM クラスターに RSA パブリックラッピングキーの RSA プライベートキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-oaep
Usage: key unwrap rsa-oaep [OPTIONS] --filter [<FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-examples"></a>

これらの例は、`unwrap` 属性値が `true` に設定された RSA プライベートキーを使用して **key unwrap rsa-oaep** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-oaep --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-example-key --hash-function sha256 --mgf mgf1-sha256 --data OjJe4msobPLz9TuSAdULEu17T5rMDWtSlLyBSkLbaZnYzzpdrhsbGLbwZJCtB/jGkDNdB4qyTAOQwEpggGf6v+Yx6JcesNeKKNU8XZal/YBoHC8noTGUSDI2qr+u2tDc84NPv6d+F2KOONXsSxMhmxzzNG/gzTVIJhOuy/B1yHjGP4mOXoDZf5+7f5M1CjxBmz4Vva/wrWHGCSG0yOaWblEvOiHAIt3UBdyKmU+/My4xjfJv7WGGu3DFUUIZ06TihRtKQhUYU1M9u6NPf9riJJfHsk6QCuSZ9yWThDT9as6i7e3htnyDhIhGWaoK8JU855cN/YNKAUqkNpC4FPL3iw==
{
  "data": {
    "key": {
      "key-reference": "0x00000000001808e9",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-oaep --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-example-key --hash-function sha256 --mgf mgf1-sha256 --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001808e9",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<HASH\$1FUNCTION>***  
ハッシュ関数を指定します。  
有効な値:  
+ sha1
+ sha224
+ sha256
+ sha384
+ sha512
必須: はい

***<MGF>***  
マスク生成関数を指定します。  
マスク生成関数のハッシュ関数は、署名メカニズムのハッシュ関数と一致する必要があります。
有効な値:  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-rsa-oaep-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して RSA-PKCS でキーをアンラップする
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs"></a>

CloudHSM CLI の **key unwrap rsa-pkcs** コマンドを使用して、RSA プライベートキーと `RSA-PKCS` ラップ解除メカニズムを使用してペイロードキーをラップ解除します。

ラップされていないキーは、 によって生成されたキーと同じ方法で使用できます AWS CloudHSM。ローカルで生成されなかったことを示すために、`local` 属性は `false` に設定されます。

key **unwrap rsa-pkcs** コマンドを使用するには、 AWS CloudHSM クラスターに RSA パブリックラッピングキーの RSA プライベートキーがあり、その`unwrap`属性を に設定する必要があります`true`。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## 構文
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help key unwrap rsa-pkcs
Usage: key unwrap rsa-pkcs [OPTIONS] --filter [<FILTER>...] --key-type-class <KEY_TYPE_CLASS> --label <LABEL> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --filter [<FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a key to unwrap with
      --data-path <DATA_PATH>
          Path to the binary file containing the wrapped key data
      --data <DATA>
          Base64 encoded wrapped key data
      --attributes [<UNWRAPPED_KEY_ATTRIBUTES>...]
          Space separated list of key attributes in the form of KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE for the unwrapped key
      --share-crypto-users [<SHARE_CRYPTO_USERS;...]
          Space separated list of Crypto User usernames to share the unwrapped key with
      --manage-key-quorum-value <MANAGE_KEY_QUORUM_VALUE;
          The quorum value for key management operations for the unwrapped key
      --use-key-quorum-value <USE_KEY_QUORUM_VALUE;
          The quorum value for key usage operations for the unwrapped key
      --key-type-class <KEY_TYPE_CLASS>
          Key type and class of wrapped key [possible values: aes, des3, ec-private, generic-secret, rsa-private]
      --label <LABEL>
          Label for the unwrapped key
      --session
          Creates a session key that exists only in the current session. The key cannot be recovered after the session ends
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-examples"></a>

これらの例は、`unwrap` 属性値を `true` に設定した AES キーを使用して **key unwrap rsa-oaep** コマンドを使用する方法を示しています。

**Example 例: Base64 でエンコードされたラッピングされたキーデータからペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-pkcs --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --data am0Nc7+YE8FWs+5HvU7sIBcXVb24QA0l65nbNAD+1bK+e18BpSfnaI3P+r8Dp+pLu1ofoUy/vtzRjZoCiDofcz4EqCFnGl4GdcJ1/3W/5WRvMatCa2d7cx02swaeZcjKsermPXYRO1lGlfq6NskwMeeTkV8R7Rx9artFrs1y0DdIgIKVaiFHwnBIUMnlQrR2zRmMkfwU1jxMYmOYyD031F5VbnjSrhfMwkww2la7uf/c3XdFJ2+0Bo94c6og/yfPcpOOobJlITCoXhtMRepSdO4OggYq/6nUDuHCtJ86pPGnNahyr7+sAaSI3a5ECQLUjwaIARUCyoRh7EFK3qPXcg==
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ef",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

**Example 例: データパスを介して提供されたペイロードキーのラッピングを解除する**  

```
aws-cloudhsm > key unwrap rsa-pkcs --key-type-class aes --label aes-unwrapped --filter attr.label=rsa-private-key-example --data-path payload-key.pem
{
  "error_code": 0,
  "data": {
    "key": {
      "key-reference": "0x00000000001c08ef",
      "key-info": {
        "key-owners": [
          {
            "username": "cu1",
            "key-coverage": "full"
          }
        ],
        "shared-users": [],
        "key-quorum-values": {
          "manage-key-quorum-value": 0,
          "use-key-quorum-value": 0
        },
        "cluster-coverage": "full"
      },
      "attributes": {
        "key-type": "aes",
        "label": "aes-unwrapped",
        "id": "0x",
        "check-value": "0x8d9099",
        "class": "secret-key",
        "encrypt": false,
        "decrypt": false,
        "token": true,
        "always-sensitive": false,
        "derive": false,
        "destroyable": true,
        "extractable": true,
        "local": false,
        "modifiable": true,
        "never-extractable": false,
        "private": true,
        "sensitive": true,
        "sign": true,
        "trusted": false,
        "unwrap": false,
        "verify": true,
        "wrap": false,
        "wrap-with-trusted": false,
        "key-length-bytes": 16
      }
    }
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<FILTER>***  
キーリファレンス (例: `key-reference=0xabc`) または `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリストを使用して、ラッピングを解除するキーを選択します。  
必須: はい

***<DATA\$1PATH>***  
ラッピングされたキーデータを含むバイナリファイルへのパス。  
必須: はい (Base64 でエンコードされたデータを通じて提供される場合を除く）

***<DATA>***  
Base64 でエンコードされたラッピングされたキーデータ。  
必須: はい (データパスを通じて提供される場合を除く）

***<ATTRIBUTES>***  
ラッピングされたキーの `KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のスペース区切りリスト。  
必須: いいえ

***<KEY\$1TYPE\$1CLASS>***  
ラッピングされたキーのキータイプとクラス [可能な値: `aes`、`des3`、`ec-private`、`generic-secret`、`rsa-private`]。  
必須: はい

***<LABEL>***  
ラッピングされていないキーのラベル。  
必須: はい

***<SESSION>***  
現在のセッションにのみ存在するセッションキーを作成します。セッション終了後、キーをリカバリすることはできません。  
必須: いいえ

***<APPROVAL>***  
オペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラップ解除キーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-rsa-pkcs-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI のキーラップコマンド
<a name="cloudhsm_cli-key-wrap"></a>

CloudHSM CLI の **key wrap** コマンドでは、対称または非対称プライベートキーの暗号化されたコピーをハードウェアセキュリティモジュール (HSM) からファイルにエクスポートします。**key wrap** を実行するときは、エクスポートするキーと出力ファイルの 2 つを指定します。エクスポートするキーは、エクスポートするキーを暗号化 (ラップ) する HSM 上のキーです。

**key wrap** コマンドは、HSM からキーを削除したり、暗号化操作での使用を妨げたりしません。同じキーを複数回エクスポートできます。暗号化されたキーを HSM に再度インポートするには、[CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md) を使用します。キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、暗号化オペレーションでのみキーを使用できます

**key wrap** コマンドは次のサブコマンドで構成されます。
+ [aes-gcm](cloudhsm_cli-key-wrap-aes-gcm.md)
+ [aes-no-pad](cloudhsm_cli-key-wrap-aes-no-pad.md)
+ [aes-pkcs5-pad](cloudhsm_cli-key-wrap-aes-pkcs5-pad.md)
+ [aes-zero-pad](cloudhsm_cli-key-wrap-aes-zero-pad.md)
+ [cloudhsm-aes-gcm](cloudhsm_cli-key-wrap-cloudhsm-aes-gcm.md)
+ [rsa-aes](cloudhsm_cli-key-wrap-rsa-aes.md)
+ [rsa-oaep](cloudhsm_cli-key-wrap-rsa-oaep.md)
+ [rsa-pkcs](cloudhsm_cli-key-wrap-rsa-pkcs.md)

# CloudHSM CLI を使用して AES-GCM でキーをラップする
<a name="cloudhsm_cli-key-wrap-aes-gcm"></a>

CloudHSM CLI の **key wrap aes-gcm** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の AES キーと `AES-GCM` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap aes-gcm** コマンドを使用するには、まず AWS CloudHSM クラスターに AES キーが必要です。[CloudHSM CLI で対称 AES キーを生成する](cloudhsm_cli-key-generate-symmetric-aes.md) コマンドと `true` に設定された `wrap` 属性でラップするための AES キーを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-aes-gcm-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-aes-gcm-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key wrap aes-gcm
Usage: key wrap aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-aes-gcm-examples"></a>

この例では、AES キーを使用して **key wrap aes-gcm** コマンドを使用する方法を示しています。

**Example**  

```
aws-cloudhsm > key wrap aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64  --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "iv": "0xf90613bb8e337ec0339aad21",
    "wrapped_key_data": "xvslgrtg8kHzrvekny97tLSIeokpPwV8"
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<AAD>***  
AES GCM 追加認証データ (AAD) 値 (16 進数)。  
必須: いいえ

***<TAG\$1LENGTH\$1BITS>***  
AES GCM タグの長さ (ビット単位)。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-aes-gcm-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI でキーを AES-NO-PAD でラップする
<a name="cloudhsm_cli-key-wrap-aes-no-pad"></a>

CloudHSM CLI の **key wrap aes-no-pad** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の AES キーと `AES-NO-PAD` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap aes-no-pad** コマンドを使用するには、まず AWS CloudHSM クラスターに AES キーが必要です。[CloudHSM CLI で対称 AES キーを生成する](cloudhsm_cli-key-generate-symmetric-aes.md) コマンドと `true` に設定された `wrap` 属性を使用して、ラッピング用の AES キーを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-aes-no-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-aes-no-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-aes-no-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-no-pad
Usage: key wrap aes-no-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-aes-no-pad-examples"></a>

この例では、`wrap` 属性値が `true` に設定された AES キーを使用して **key wrap aes-no-pad** コマンドを使用する方法を示します。

**Example**  

```
aws-cloudhsm > key wrap aes-no-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "eXK3PMAOnKM9y3YX6brbhtMoC060EOH9"
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-aes-no-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-aes-no-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して AES-PKCS5-PAD でキーをラップする
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad"></a>

CloudHSM CLI の **key wrap aes-pkcs5-pad** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の AES キーと `AES-PKCS5-PAD` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap aes-pkcs5-pad** コマンドを使用するには、まず AWS CloudHSM クラスターに AES キーが必要です。[CloudHSM CLI で対称 AES キーを生成する](cloudhsm_cli-key-generate-symmetric-aes.md) コマンドと `true` に設定された `wrap` 属性を使用して、ラッピング用の AES キーを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-pkcs5-pad
Usage: key wrap aes-pkcs5-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-examples"></a>

この例では、`wrap` 属性値が `true` に設定された AES キーを使用して **key wrap aes-pkcs5-pad** コマンドを使用する方法を示します。

**Example**  

```
aws-cloudhsm > key wrap aes-pkcs5-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "MbuYNresfOKyGNnxKWen88nSfX+uUE/0qmGofSisicY="
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-aes-pkcs5-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI でキーを AES-ZERO-PAD でラップする
<a name="cloudhsm_cli-key-wrap-aes-zero-pad"></a>

CloudHSM CLI の **key wrap aes-zero-pad** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の AES キーと `AES-ZERO-PAD` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap aes-zero-pad** コマンドを使用するには、まず AWS CloudHSM クラスターに AES キーが必要です。[CloudHSM CLI で対称 AES キーを生成する](cloudhsm_cli-key-generate-symmetric-aes.md) コマンドで `wrap` 属性を `true` に設定して、ラッピング用の AES キーを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-syntax"></a>

```
aws-cloudhsm > help key wrap aes-zero-pad
Usage: key wrap aes-zero-pad [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-examples"></a>

この例では、`wrap` 属性値が `true` に設定された AES キーを使用して **key wrap aes-zero-pad ** コマンドを使用する方法を示します。

**Example**  

```
aws-cloudhsm > key wrap aes-zero-pad --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "L1wVlL/YeBNVAw6Mpk3owFJZXBzDLONt"
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-aes-zero-pad-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して CLOUDHSM-AES-GCM でキーをラップする
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm"></a>

CloudHSM CLI の **key wrap cloudhsm-aes-gcm** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の AES キーと `CLOUDHSM-AES-GCM` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap cloudhsm-aes-gcm** コマンドを使用するには、まず AWS CloudHSM クラスターに AES キーが必要です。[CloudHSM CLI で対称 AES キーを生成する](cloudhsm_cli-key-generate-symmetric-aes.md) コマンドと `true` に設定された `wrap` 属性でラップするための AES キーを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-syntax"></a>

```
aws-cloudhsm > help key wrap cloudhsm-aes-gcm
Usage: key wrap cloudhsm-aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-examples"></a>

この例では、AES キーを使用して **key wrap cloudhsm-aes-gcm** コマンドを使用する方法を示しています。

**Example**  

```
aws-cloudhsm > key wrap cloudhsm-aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64 --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ"
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<AAD>***  
AES GCM 追加認証データ (AAD) 値 (16 進数)。  
必須: いいえ

***<TAG\$1LENGTH\$1BITS>***  
AES GCM タグの長さ (ビット単位)。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-cloudhsm-aes-gcm-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI で RSA-AES を使用してキーをラップする
<a name="cloudhsm_cli-key-wrap-rsa-aes"></a>

CloudHSM CLI の **key wrap rsa-aes** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の RSA パブリックキーと RSA-AES ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap rsa-aes** コマンドを使用するには、まず AWS CloudHSM クラスターに RSA キーが必要です。[CloudHSM CLI の generate-asymmetric-pair カテゴリ](cloudhsm_cli-key-generate-asymmetric-pair.md) コマンドと `true` に設定された `wrap` 属性を使用して、RSA キーペアを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-rsa-aes-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-rsa-aes-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-aes
Usage: key wrap rsa-aes [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-rsa-aes-examples"></a>

この例では、`wrap` 属性値を `true` に設定した RSA 公開キーを使用して **key wrap rsa-ae** コマンドを使用する方法を示します。

**Example**  

```
aws-cloudhsm > key wrap rsa-aes --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example --hash-function sha256 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "payload-key-reference": "0x00000000001c08f1",
    "wrapping-key-reference": "0x00000000007008da",
    "wrapped-key-data": "HrSE1DEyLjIeyGdPa9R+ebiqB5TIJGyamPker31ZebPwRA+NcerbAJO8DJ1lXPygZcI21vIFSZJuWMEiWpe1R9D/5WSYgxLVKex30xCFqebtEzxbKuv4DOmU4meSofqREYvtb3EoIKwjyxCMRQFgoyUCuP4y0f0eSv0k6rSJh4NuCsHptXZbtgNeRcR4botN7LlzkEIUcq4fVHaatCwd0J1QGKHKyRhkol+RL5WGXKe4nAboAkC5GO7veI5yHL1SaKlssSJtTL/CFpbSLsAFuYbv/NUCWwMY5mwyVTCSlw+HlgKK+5TH1MzBaSi8fpfyepLT8sHy2Q/VRl6ifb49p6m0KQFbRVvz/OWUd6l4d97BdgtaEz6ueg=="
  }
}
```

## 引数
<a name="cloudhsm_cli-key-wrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<MGF>***  
マスク生成関数を指定します。  
マスク生成関数のハッシュ関数は、署名メカニズムのハッシュ関数と一致する必要があります。
有効値  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-rsa-aes-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI を使用して RSA-OAEP でキーをラップする
<a name="cloudhsm_cli-key-wrap-rsa-oaep"></a>

CloudHSM CLI の **key wrap rsa-oaep** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の RSA パブリックキーと `RSA-OAEP` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap rsa-oaep** コマンドを使用するには、まず AWS CloudHSM クラスターに RSA キーが必要です。[CloudHSM CLI の generate-asymmetric-pair カテゴリ](cloudhsm_cli-key-generate-asymmetric-pair.md) コマンドと `true` に設定された `wrap` 属性を使用して、RSA キーペアを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-unwrap-rsa-aes-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-unwrap-rsa-aes-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-unwrap-rsa-aes-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-oaep
Usage: key wrap rsa-oaep [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
      --hash-function <HASH_FUNCTION>
          Hash algorithm [possible values: sha1, sha224, sha256, sha384, sha512]
      --mgf <MGF>
          Mask Generation Function algorithm [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-unwrap-rsa-aes-examples"></a>

この例では、`wrap` 属性値を `true` に設定した RSA 公開キーを使用して **key wrap rsa-oaep** コマンドを使用する方法を示します。

**Example**  

```
aws-cloudhsm > key wrap rsa-oaep --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example --hash-function sha256 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "payload-key-reference": "0x00000000001c08f1",
    "wrapping-key-reference": "0x00000000007008da",
    "wrapped-key-data": "OjJe4msobPLz9TuSAdULEu17T5rMDWtSlLyBSkLbaZnYzzpdrhsbGLbwZJCtB/jGkDNdB4qyTAOQwEpggGf6v+Yx6JcesNeKKNU8XZal/YBoHC8noTGUSDI2qr+u2tDc84NPv6d+F2KOONXsSxMhmxzzNG/gzTVIJhOuy/B1yHjGP4mOXoDZf5+7f5M1CjxBmz4Vva/wrWHGCSG0yOaWblEvOiHAIt3UBdyKmU+/My4xjfJv7WGGu3DFUUIZ06TihRtKQhUYU1M9u6NPf9riJJfHsk6QCuSZ9yWThDT9as6i7e3htnyDhIhGWaoK8JU855cN/YNKAUqkNpC4FPL3iw=="
  }
}
```

## 引数
<a name="cloudhsm_cli-key-unwrap-rsa-aes-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<MGF>***  
マスク生成関数を指定します。  
マスク生成関数のハッシュ関数は、署名メカニズムのハッシュ関数と一致する必要があります。
有効値  
+ mgf1-sha1
+ mgf1-sha224
+ mgf1-sha256
+ mgf1-sha384
+ mgf1-sha512
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-unwrap-rsa-aes-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)

# CloudHSM CLI で RSA-PKCS でキーをラップする
<a name="cloudhsm_cli-key-wrap-rsa-pkcs"></a>

CloudHSM CLI の **key wrap rsa-pkcs** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) の RSA パブリックキーと `RSA-PKCS` ラップメカニズムを使用してペイロードキーをラップします。ペイロードキーの `extractable` 属性を `true` に設定する必要があります。

キーの所有者、つまりキーを作成した Crypto User (CU) のみがキーをラップできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用できます。

**key wrap rsa-pkcs** コマンドを使用するには、まず AWS CloudHSM クラスターに RSA キーが必要です。[CloudHSM CLI の generate-asymmetric-pair カテゴリ](cloudhsm_cli-key-generate-asymmetric-pair.md) コマンドと `true` に設定された `wrap` 属性を使用して、RSA キーペアを生成できます。

## ユーザーのタイプ
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-userType"></a>

このコマンドは、次のタイプのユーザーが実行できます。
+ Crypto User (CU)

## 要件
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-requirements"></a>
+ このコマンドを実行するには、CU としてログインする必要があります。

## Syntax
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-syntax"></a>

```
aws-cloudhsm > help key wrap rsa-pkcs
Usage: key wrap rsa-pkcs [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...]

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --wrapping-approval <WRAPPING_APPROVALR>
          File path of signed quorum token file to approve operation for wrapping key
      --payload-approval <PAYLOAD_APPROVALR>
          File path of signed quorum token file to approve operation for payload key
  -h, --help
          Print help
```

## 例
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-examples"></a>

この例では、RSA パブリックキーを使用して **key wrap rsa-pkcs** コマンドを使用する方法を示しています。

**Example**  

```
aws-cloudhsm > key wrap rsa-pkcs --payload-filter attr.label=payload-key --wrapping-filter attr.label=rsa-public-key-example
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000007008da",
    "wrapped_key_data": "am0Nc7+YE8FWs+5HvU7sIBcXVb24QA0l65nbNAD+1bK+e18BpSfnaI3P+r8Dp+pLu1ofoUy/vtzRjZoCiDofcz4EqCFnGl4GdcJ1/3W/5WRvMatCa2d7cx02swaeZcjKsermPXYRO1lGlfq6NskwMeeTkV8R7Rx9artFrs1y0DdIgIKVaiFHwnBIUMnlQrR2zRmMkfwU1jxMYmOYyD031F5VbnjSrhfMwkww2la7uf/c3XdFJ2+0Bo94c6og/yfPcpOOobJlITCoXhtMRepSdO4OggYq/6nUDuHCtJ86pPGnNahyr7+sAaSI3a5ECQLUjwaIARUCyoRh7EFK3qPXcg=="
  }
```

## 引数
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-arguments"></a>

***<CLUSTER\$1ID>***  
このオペレーションを実行するクラスターの ID。  
必須: 複数のクラスターが[設定](cloudhsm_cli-configs-multi-cluster.md)されている場合。

***<PAYLOAD\$1FILTER>***  
ペイロードキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<PATH>***  
ラップされたキーデータを保存するバイナリファイルへのパス。  
必須: いいえ

***<WRAPPING\$1FILTER>***  
ラッピングキーを選択する `attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE` 形式のキー属性のキーリファレンス (例: `key-reference=0xabc`) またはスペース区切りリスト。  
必須: はい

***<WRAPPING\$1APPROVALR>***  
ラッピングキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ラッピングキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

***<PAYLOAD\$1APPROVALR>***  
ペイロードキーのオペレーションを承認する署名付きクォーラムトークンファイルへのファイルパスを指定します。ペイロードキーのキー管理サービスのクォーラム値が 1 より大きい場合にのみ必要です。

## 関連トピック
<a name="cloudhsm_cli-key-wrap-rsa-pkcs-seealso"></a>
+ [CloudHSM CLI のキーラップコマンド](cloudhsm_cli-key-wrap.md)
+ [CloudHSM CLI のキーアンラップコマンド](cloudhsm_cli-key-unwrap.md)