CloudHSM CLI を使用したクォーラム認証の管理 (M of N アクセスコントロール) - AWS CloudHSM

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudHSM CLI を使用したクォーラム認証の管理 (M of N アクセスコントロール)

AWS CloudHSM クラスター内のハードウェアセキュリティモジュール (HSMs) は、M of N アクセスコントロールとも呼ばれるクォーラム認証をサポートしています。クォーラム認証を使用すると、HSM 上でクォーラムコントロールされたオペレーションを単独のユーザーが実行することはできません。代わりに、HSM ユーザーの最小数 (少なくとも 2 人) が、これらのオペレーションを協力して行う必要があります。クォーラム認証は、複数の HSM ユーザーによる承認を必須とすることで、追加の保護レイヤーを提供します。

クォーラム認証は次のオペレーションを制御できます。

  • Crypto User による HSM のキー使用および管理 - キーを使用した署名の作成、キーのラッピング、ラップ解除、共有、共有解除、およびキー属性の設定。

重要な考慮事項

  • HSM ユーザーは自分のクォーラムトークンに署名できます。つまり、リクエストするユーザーはクォーラム認証に必要な承認の 1 つを提供できます。

  • クォーラム管理されたオペレーションに対して、最小数のクォーラム承認者を選択します。選択できる最小数は 2 で、選択できる最大数は 8 です。

  • HSM は最大 1,024 個のクォーラムトークンを保存できます。HSM にすでに 1,024 トークンある場合、新しく作成しようとすると、HSM は期限切れのトークンの 1 つを消去します。デフォルトでは、トークンは作成後 10 分で有効期限が切れます。

  • 多要素認証 (MFA) が有効になっている場合、クラスターは、クォーラム認証と MFA に同じキーを使用します。クォーラム認証と MFA の詳細については、CloudHSM CLI を使用して MFA を管理するを参照してください。

  • 各 HSM には、Admin サービスにつき同時に 1 つのトークンしか保持できませんが、Crypto User サービスについては複数のトークンを保持できます。

次のトピックでは、 AWS CloudHSMでのクォーラム認証についてさらに詳細な情報を提供します。

トピック