翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # AWS CloudHSM キー管理ユーティリティコマンドのリファレンス **key\$1mgmt\$1util** コマンドラインツールは、キーとその属性の作成、削除、検索など、 AWS CloudHSM クラスター内のハードウェアセキュリティモジュール (HSM) のキーを管理するのに役立ちます。このトピックでは、このツールに含まれている各コマンドについて詳しく説明します。 クイックスタートについては、「[AWS CloudHSM key\$1mgmt\$1util の開始方法](key_mgmt_util-getting-started.md)」を参照してください。キー属性の解釈については、[AWS CloudHSM KMU のキー属性リファレンス](key-attribute-table.md) を参照してください。クラスターの HSM とユーザーを管理するコマンドを含む cloudhsm\$1mgmt\$1util コマンドラインツールについては、[AWS CloudHSM 管理ユーティリティ (CMU)](cloudhsm_mgmt_util.md) を参照してください。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 すべての key\$1mgmt\$1util コマンドを一覧表示するには、次のように入力します。 ``` Command: help ``` 特定の key\$1mgmt\$1util コマンドのヘルプを表示するには、次のように入力します。 ``` Command: -h ``` key\$1mgmt\$1util セッションを終了するには、次のように入力します。 ``` Command: exit ``` 次のトピックでは、key\$1mgmt\$1util のコマンドについて説明します。 **注記** key\$1mgmt\$1util と cloudhsm\$1mgmt\$1util のコマンドには、同じ名前のものがあります。ただし、コマンドは通常、構文が異なり、出力が異なり、機能がわずかに異なります。 | コマンド | 説明 | | --- | --- | | [aesWrapUnwrap](key_mgmt_util-aesWrapUnwrap.md) | ファイルのキーの内容を暗号化および復号します。 | | [deleteKey](key_mgmt_util-deleteKey.md) | HSM からキーを削除します。 | | [Error2String](key_mgmt_util-Error2String.md) | key\$1mgmt\$1util 16 進エラーコードに対応するエラーを取得します。 | | [exit](key_mgmt_util-exit.md) | key\$1mgmt\$1util を終了します。 | | [exportPrivateKey](key_mgmt_util-exportPrivateKey.md) | プライベートキーのコピーを HSM からディスク上のファイルにエクスポートします。 | | [exportPubKey](key_mgmt_util-exportPubKey.md) | パブリックキーのコピーを HSM からファイルにエクスポートします。 | | [exSymKey](key_mgmt_util-exSymKey.md) | 対称キーのプレーンテキストコピーを HSM からファイルにエクスポートします。 | | [extractMaskedObject](key_mgmt_util-extractMaskedObject.md) | HSM のキーをマスクされたオブジェクトとして抽出します。 | | [findKey](key_mgmt_util-findKey.md) | キーの属性値に基づいてキーを検索します。 | | [findSingleKey](key_mgmt_util-findSingleKey.md) | クラスターのすべての HSM にキーが存在することを検証します。 | | [genDSAKeyPair](key_mgmt_util-genDSAKeyPair.md) | [ デジタル署名アルゴリズム](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm) (DSA) キーペアを HSM に生成します。 | | [genECCKeyPair](key_mgmt_util-genECCKeyPair.md) | [楕円曲線暗号](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography) (ECC) キーペアを HSM に生成します。 | | [genRSAKeyPair](key_mgmt_util-genRSAKeyPair.md) | [RSA](https://en.wikipedia.org/wiki/RSA_%28cryptosystem%29) 非対称キーペアを HSM に生成します。 | | [genSymKey](key_mgmt_util-genSymKey.md) | 対称キーを HSM に生成します。 | | [getAttribute](key_mgmt_util-getAttribute.md) | AWS CloudHSM キーの属性値を取得し、ファイルに書き込みます。 | | [getCaviumPrivKey](key_mgmt_util-getCaviumPrivKey.md) | プライベートキーのフェイク PEM 形式バージョンを作成し、ファイルにエクスポートします。 | | [getCert](key_mgmt_util-getCert.md) | HSM のパーティション証明書を取得し、それをファイルに保存します。 | | [getKeyInfo](key_mgmt_util-getKeyInfo.md) | キーを使用できるユーザーの HSM ユーザー ID を取得します。 キーがクォーラム制御されている場合は、クォーラムのユーザー数を取得します。 | | [help](key_mgmt_util-help.md) | key\$1mgmt\$1util で使用可能なコマンドに関するヘルプ情報を表示します。 | | [importPrivateKey](key_mgmt_util-importPrivateKey.md) | プライベートキーを HSM にインポートします。 | | [importPubKey](key_mgmt_util-importPubKey.md) | パブリックキーを HSM にインポートします。 | | [imSymKey](key_mgmt_util-imSymKey.md) | 対称キーのプレーンテキストコピーをファイルから HSM 内にインポートします。 | | [insertMaskedObject](key_mgmt_util-insertMaskedObject.md) | ディスク上のファイルにあるマスクされたオブジェクトを、そのオブジェクトの元のクラスターの関連クラスターに格納されている HSM に挿入します。関連クラスターとは、[元のクラスターのバックアップから生成された](create-cluster-from-backup.md)クラスターを指します。 | | [KMU AWS CloudHSM を使用してキーファイルを検証する](key_mgmt_util-IsValidKeyHandlefile.md) | あるファイルに、実際のプライベートキーとサンプルの PEM キーのどちらが含まれているかを特定します。 | | [listAttributes](key_mgmt_util-listAttributes.md) | AWS CloudHSM キーの属性とそれを表す定数を一覧表示します。 | | [listUsers](key_mgmt_util-listUsers.md) | HSM のユーザー、そのユーザータイプと ID、およびその他の属性を取得します。 | | [loginHSM および logoutHSM](key_mgmt_util-loginHSM.md) | クラスターの HSM でログインおよびログアウトを行います。 | | [setAttribute](key_mgmt_util-setAttribute.md) | セッションキーを永続キーに変換します。 | | [sign](key_mgmt_util-sign.md) | 選択されたプライベートキーを使ってファイルのための署名を生成します。 | | [unWrapKey](key_mgmt_util-unwrapKey.md) | ラップ (暗号化) されたキーをファイルから HSM 内にインポートします。 | | [verify](key_mgmt_util-verify.md) | 特定のファイルへの署名に特定のキーが使用されたかどうかを検証します。 | | [wrapKey](key_mgmt_util-wrapKey.md) | キーの暗号化されたコピーを HSM からファイルにエクスポートします。 | # KMU を使用して AWS CloudHSM ファイルを暗号化および復号する AWS CloudHSM key\$1mgmt\$1util の **aesWrapUnwrap** コマンドを使用して、ディスク上のファイルの内容を暗号化または復号します。このコマンドは、暗号化キーをラップおよびラップ解除するように設計されていますが、4 KB (4096 バイト) 未満のデータを含むすべてのファイルに使用できます。 **aesWrapUnwrap** は、PKCS \$15 パディングを使用する AES キーラップを使用します。HSM で、ラップまたはラップ解除キーとして、AES キーを使用します。その後、ディスク上の別のファイルに結果が書き込まれます。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` aesWrapUnwrap -h aesWrapUnwrap -m -f -w [-i ] [-out ] ``` ## 例 以下の例では、**aesWrapUnwrap** を使用してファイルの暗号化キーを暗号化および復号する方法を示します。 **Example : 暗号化キーをラップする** 次のコマンドでは、**aesWrapUnwrap** を使用して[プレーンテキストで HSM からエクスポートされた](key_mgmt_util-exSymKey.md) Triple DES 対称キーを `3DES.key` ファイルにラップします。同様のコマンドを使用して、ファイルに保存されたキーをラップできます。 コマンドは、ラップモードを示す `1` の値で `-m` パラメータを使用します。`-w` パラメータを使用して HSM の AES キー (キーハンドル `6`) をラップキーとして指定します。ラップしたキーは `3DES.key.wrapped` ファイルに書き込まれます。 出力は、コマンドが正常に実行され、推奨されているデフォルトの IV をオペレーションが使用したことを示しています。 ``` Command: aesWrapUnwrap -f 3DES.key -w 6 -m 1 -out 3DES.key.wrapped Warning: IV (-i) is missing. 0xA6A6A6A6A6A6A6A6 is considered as default IV result data: 49 49 E2 D0 11 C1 97 22 17 43 BD E3 4E F4 12 75 8D C1 34 CF 26 10 3A 8D 6D 0A 7B D5 D3 E8 4D C2 79 09 08 61 94 68 51 B7 result written to file 3DES.key.wrapped Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS ``` **Example : 暗号化キーをラップ解除する** 次の例では、**aesWrapUnwrap** を使用してラップ (暗号化) したキーをラップ解除 (復号) する方法を示します。HSM にキーをインポートする前に次のようなオペレーションを実行できます。たとえば、暗号化されたキーを [imSymKey](key_mgmt_util-imSymKey.md) コマンドでインポートしようとすると、暗号化されたキーには、該当タイプのプレーンテキストキーに必要な形式がないため、エラーが返されます。 コマンドは `3DES.key.wrapped` ファイルのキーをラップ解除し、プレーンテキストを `3DES.key.unwrapped` ファイルに書き込みます。コマンドは、ラップ解除モードを示す `-m` の値で `0` パラメータを使用します。`-w` パラメータを使用して HSM の AES キー (キーハンドル `6`) をラップキーとして指定します。ラップしたキーは `3DES.key.unwrapped` ファイルに書き込まれます。 ``` Command: aesWrapUnwrap -m 0 -f 3DES.key.wrapped -w 6 -out 3DES.key.unwrapped Warning: IV (-i) is missing. 0xA6A6A6A6A6A6A6A6 is considered as default IV result data: 14 90 D7 AD D6 E4 F5 FA A1 95 6F 24 89 79 F3 EE 37 21 E6 54 1F 3B 8D 62 result written to file 3DES.key.unwrapped Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS ``` ## パラメータ **-h** コマンドに関するヘルプを表示します。 必須: はい **-m** モードを指定します。ファイルの内容をラップ (暗号化) するには「`1`」と入力します。ファイルの内容をラップ解除 (復号) するには「`0`」と入力します。 必須: はい **-f** ラップするファイルを指定します。4 KB (4096 バイト) 未満のデータを含むファイルを入力します。このオペレーションは、暗号化キーをラップおよびラップ解除するように設計されています。 必須: はい **-w** ラップキーを指定します。HSM で AES キーのキーハンドルを入力します。このパラメータは必須です。キーハンドルを見つけるには、[findKey](key_mgmt_util-findKey.md) コマンドを使用します。 ラッピングキーを作成するには、[genSymKey](key_mgmt_util-genSymKey.md) を使用して AES キー (タイプ 31) を生成します。 必須: はい **-i** アルゴリズムの代替の初期値 (IV) を指定します。代替を必要とする特殊な条件がなければ、デフォルト値を使用します。 デフォルト: `0xA6A6A6A6A6A6A6A6`。デフォルト値は [AES キーのラップ](https://tools.ietf.org/html/rfc3394)のアルゴリズム仕様で定義されています。 必須: いいえ **-out** ラップまたはラップ解除されたキーを含む出力ファイルに代わりの名前を指定します。デフォルトは、ローカルディレクトリの `wrapped_key` (ラップオペレーション) および `unwrapped_key` (ラップ解除オペレーション) です。 既存のファイルがある場合、**aesWrapUnwrap** は警告なしに上書きされます。コマンドが失敗すると、**aesWrapUnwrap** で内容のない出力ファイルが作成されます。 デフォルト: ラップ: `wrapped_key`。ラップ解除: `unwrapped_key`。 必須: いいえ ## 関連トピック + [exSymKey](key_mgmt_util-exSymKey.md) + [imSymKey](key_mgmt_util-imSymKey.md) + [unWrapKey](key_mgmt_util-unwrapKey.md) + [wrapKey](key_mgmt_util-wrapKey.md) # KMU を使用して AWS CloudHSM キーを削除する key AWS CloudHSM \$1mgmt\$1util の **deleteKey** コマンドを使用して、 AWS CloudHSM クラスターのハードウェアセキュリティモジュール (HSM) からキーを削除します。一度に削除できるキーは 1 つだけです。キーペアの一方のキーを削除しても、ペアの他方のキーには影響がありません。 キーを削除できるのは、キー所有者のみです。キーを共有するユーザーは、キーを暗号化オペレーションで使用することはできますが、削除することはできません。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` deleteKey -h deleteKey -k ``` ## 例 以下の例では、**deleteKey** を使用してキーを HSM から削除する方法を示します。 **Example : キーを削除する** 次のコマンドでは、キーハンドルが `6` のキーを削除します。コマンドが成功すると、**deleteKey** はクラスターの各 HSM から成功メッセージを返します。 ``` Command: deleteKey -k 6 Cfm3DeleteKey returned: 0x00 : HSM Return: SUCCESS Cluster Error Status Node id 1 and err state 0x00000000 : HSM Return: SUCCESS Node id 2 and err state 0x00000000 : HSM Return: SUCCESS ``` **Example : キーを削除する (失敗)** 指定したキーハンドルに対応するキーがないためにコマンドが失敗すると、**deleteKey** はオブジェクトハンドルが無効であるというエラーメッセージを返します。 ``` Command: deleteKey -k 252126 Cfm3FindKey returned: 0xa8 : HSM Error: Invalid object handle is passed to this operation Cluster Error Status Node id 1 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation Node id 2 and err state 0x000000a8 : HSM Error: Invalid object handle is passed to this operation ``` 現在のユーザーがキーの所有者ではないためにコマンドが失敗すると、コマンドはアクセス拒否エラーを返します。 ``` Command: deleteKey -k 262152 Cfm3DeleteKey returned: 0xc6 : HSM Error: Key Access is denied. ``` ## パラメータ **-h** コマンドのコマンドラインヘルプを表示します 必須: はい **-k** 削除するキーのキーハンドルを指定します。HSM のキーのキーハンドルを確認するには、[findKey](key_mgmt_util-findKey.md) を使用します。 必須: はい ## 関連トピック + [findKey](key_mgmt_util-findKey.md) # KMU を使用して AWS CloudHSM エラーを記述する AWS CloudHSM key\$1mgmt\$1util の **Error2String** helper コマンドを使用して、key\$1mgmt\$1util の 16 進エラーコードに対応するエラーを返します。このコマンドは、コマンドとスクリプトのトラブルシューティングに使用できます。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` Error2String -h Error2String -r ``` ## 例 これらの例は、key\$1mgmt\$1util エラーコードのエラー文字列を取得するために **Error2String** を使用する方法を示しています。 **Example : エラーの説明を取得する** 次のコマンドでは、`0xdb` エラーコードに関するエラーの説明を取得します。説明では、ユーザーがユーザータイプを間違えたため、key\$1mgmt\$1util へのログインに失敗したとなります。key\$1mgmt\$1util にログインできるのは Crypto User (CU) のみです。 ``` Command: Error2String -r 0xdb Error Code db maps to HSM Error: Invalid User Type. ``` **Example : エラーコードを見つける** この例は、key\$1mgmt\$1util エラーのエラーコードの場所を示しています。エラーコード `0xc6` は、文字列 `Cfm3 returned: `の後に表示されます。 この例の [getKeyInfo](key_mgmt_util-getKeyInfo.md) では、現在のユーザー (ユーザー 4) が暗号化オペレーションでキーを使用できることを示しています。その場合でも、ユーザーが [deleteKey](key_mgmt_util-deleteKey.md) を使用してキーを削除しようとすると、コマンドはエラーコード `0xc6` を返します。 ``` Command: deleteKey -k 262162 Cfm3DeleteKey returned: <0xc6> : HSM Error: Key Access is denied Cluster Error Status Command: getKeyInfo -k 262162 Cfm3GetKey returned: 0x00 : HSM Return: SUCCESS Owned by user 3 also, shared to following 1 user(s): 4 ``` `0xc6` エラーが返された場合は、次のような **Error2String** コマンドを使用してエラーを検索できます。この例で `deleteKey` コマンドが失敗しているのは、現在のユーザーがキーを共有していても、キーの所有者が別のユーザーであるために、アクセス拒否エラーとなるためです。キーを削除できるのはキーの所有者のみです。 ``` Command: Error2String -r 0xa8 Error Code c6 maps to HSM Error: Key Access is denied ``` ## パラメータ **-h** コマンドに関するヘルプを表示します。 必須: はい **-r** 16 進数のエラーコードを指定します。16 進数インジケータ `0x` は必須です。 必須: はい # KMU AWS CloudHSM を終了する AWS CloudHSM key\$1mgmt\$1util の **exit** コマンドを使用して key\$1mgmt\$1util を終了します。正常に終了すると、標準のコマンドラインに戻ります。 どの key\$1mgmt\$1util コマンドを実行する場合でも、事前に [key\$1mgmt\$1util を起動](key_mgmt_util-setup.md#key_mgmt_util-start)する必要があります。 ## 構文 ``` exit ``` ## パラメータ このコマンドにはパラメータがありません。 ## 関連トピック + [key\$1mgmt\$1util の起動](key_mgmt_util-setup.md#key_mgmt_util-start) # KMU を使用してプライベート AWS CloudHSM キーをエクスポートする AWS CloudHSM key\$1mgmt\$1util の **exportPrivateKey** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) からファイルに非対称プライベートキーをエクスポートします。HSM では、クリアテキストのキーを直接エクスポートすることはできません。このコマンドは、指定した AES ラップキーを使用してプライベートキーをラップし、ラップされたバイトを復号化して、クリアテキストのプライベートキーをファイルにコピーします。 **exportPrivateKey** コマンドはキーを HSM から削除したり、[キー属性](key-attribute-table.md)を変更したり、今後の暗号化操作でのキーの使用を禁止したりすることはありません。同じキーを複数回エクスポートできます。 `OBJ_ATTR_EXTRACTABLE` 属性値が `1` のプライベートキーのみエクスポートすることができます。`OBJ_ATTR_WRAP` と `OBJ_ATTR_DECRYPT` 属性値 `1` を持つ AES ラップキーを指定する必要があります。キーの属性を確認するには、[**getAttribute**](key_mgmt_util-getAttribute.md) コマンドを使用します。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` exportPrivateKey -h exportPrivateKey -k -w -out [-m ] [-wk ] ``` ## 例 この例では、**exportPrivateKey** を使って HSM からプライベートキーをエクスポートする方法を示します。 **Example : プライベートキーをエクスポートする** このコマンドは、ハンドルが `16` のラップキーを使い、ハンドルが `15` のプライベートキーを `exportKey.pem` という PEM ファイルにエクスポートします。**exportPrivateKey** は、コマンドが成功すると成功メッセージを返します。 ``` Command: exportPrivateKey -k 15 -w 16 -out exportKey.pem Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS PEM formatted private key is written to exportKey.pem ``` ## パラメータ このコマンドでは、以下のパラメータを使用します。 **`-h`** コマンドのコマンドラインヘルプを表示します 必須: はい **`-k`** エクスポートするプライベートキーのキーハンドルを指定します。 必須: はい **`-w`** ラップキーのキーハンドルを指定します。このパラメータは必須です。キーハンドルを見つけるには、[**findKey**](key_mgmt_util-findKey.md) コマンドを使用します。 キーをラップキーとして使用できるかどうかを確認するには、[**getAttribute**](key_mgmt_util-getAttribute.md) を使用して `OBJ_ATTR_WRAP` 属性 (262) の値を取得します。ラップキーを作成するには、[**genSymKey**](key_mgmt_util-genSymKey.md) を使用して AES キー (タイプ 31) を作成します。 `-wk` パラメータを使用して外部のラップ解除キーを指定した場合、エクスポート時の (ラップ解除ではなく) ラップに `-w` ラップキーが使われます。 必須: はい **`-out`** エクスポートしたプライベートキーの書き込み先とするファイルの名前を指定します。 必須: はい **`-m`** エクスポートするプライベートキーのラップ方法を指定します。唯一の有効な値は `4` です。これは `NIST_AES_WRAP mechanism.` を指します。 デフォルト: 4 (`NIST_AES_WRAP`) 必須: いいえ **`-wk`** エクスポートするキーをラップ解除するためのキーを指定します。プレーンテキストの AES キーが含まれているファイルのパスと名前を入力します。 このパラメータを含めた場合、**exportPrivateKey** は、エクスポートするキーをラップする際に `-w` ファイルのキーを使用し、ラップ解除する際に `-wk` パラメータで指定されたキーを使用します。 デフォルト: `-w` パラメータで指定されたラップキーを使用して、ラップとラップ解除の両方を行う。 必須: いいえ ## 関連トピック + [importPrivateKey](key_mgmt_util-importPrivateKey.md) + [wrapKey](key_mgmt_util-wrapKey.md) + [unWrapKey](key_mgmt_util-unwrapKey.md) + [genSymKey](key_mgmt_util-genSymKey.md) # KMU を使用してパブリック AWS CloudHSM キーをエクスポートする AWS CloudHSM key\$1mgmt\$1util の **exportPubKey** コマンドを使用して、HSM のパブリックキーをファイルにエクスポートします。これを使用すると、HSM で生成したパブリックキーをエクスポートすることができます。また、このコマンドを使うと、**[**importPubKey**](key_mgmt_util-importPubKey.md)** コマンドでインポートされたパブリックキーなど、HSM にインポートされたパブリックキーをエクスポートすることもできます。 **exportPubKey** オペレーションは、キーマテリアルを指定のファイルにコピーします。しかし、キーを HSM から削除したり、[キー属性](key-attribute-table.md)を変更したり、今後の暗号化操作でのキーの使用を禁止したりすることはありません。同じキーを複数回エクスポートできます。 エクスポート可能なパブリックキーは、`OBJ_ATTR_EXTRACTABLE` 値が `1` であるものに限られます。キーの属性を確認するには、**[getAttribute](key_mgmt_util-getAttribute.md)** コマンドを使用します。 `key_mgmt_util` コマンドを実行する前に、[key\$1mgmt\$1util を起動](key_mgmt_util-setup.md#key_mgmt_util-start)し、Crypto User (CU) として HSM に[ログイン](key_mgmt_util-log-in.md)する必要があります。 ## 構文 ``` exportPubKey -h exportPubKey -k -out ``` ## 例 この例では、**exportPubKey** を使って HSM からパブリックキーをエクスポートする方法を示します。 **Example : パブリックキーをエクスポートする** このコマンドは、ハンドルが `10` のパブリックキーを `public.pem` というファイルにエクスポートします。**exportPubKey** は、コマンドが成功すると成功メッセージを返します。 ``` Command: exportPubKey -k 10 -out public.pem PEM formatted public key is written to public.pem Cfm3ExportPubKey returned: 0x00 : HSM Return: SUCCESS ``` ## パラメータ このコマンドでは、以下のパラメータを使用します。 **`-h`** コマンドのコマンドラインヘルプを表示します 必須: はい **`-k`** エクスポートするパブリックキーのキーハンドルを指定します。 必須: はい **`-out`** エクスポートしたパブリックキーの書き込み先とするファイルの名前を指定します。 必須: はい ## 関連トピック + [importPubKey](key_mgmt_util-importPubKey.md) + [キーの生成](generate-keys.md) # KMU を使用して AWS CloudHSM キーのプレーンテキストコピーをエクスポートする AWS CloudHSM key\$1mgmt\$1util ツールの **exSymKey** コマンドを使用して、対称キーのプレーンテキストコピーをハードウェアセキュリティモジュール (HSM) からエクスポートし、ディスク上のファイルに保存します。キーの暗号化 (ラップ) されたコピーをエクスポートするには、[wrapKey](key_mgmt_util-wrapKey.md) キーを使用します。プレーンテキストのキー (`exSymKey` でエクスポートしたものなど) をインポートするには、[imSymKey](key_mgmt_util-imSymKey.md) を使用し ます。 エクスポートプロセス中に、**exSymKey** は、指定した AES キー (*ラッピングキー*) を使用して、エクスポートするキーを*ラップ* (暗号化) してから*ラップ解除* (復号化) します。ただし、エクスポートオペレーションの結果は、ディスク上のプレーンテキスト (*ラップ解除された*) キーとなります。 キーの所有者 (キーを作成した CU ユーザー) のみがキーをエクスポートできます。キーを共有するユーザーは、キーを暗号化オペレーションで使用することはできますが、エクスポートすることはできません。 **exSymKey** オペレーションは、キーマテリアルをユーザーが指定したファイルにコピーしますが、キーを HSM から削除したり、その[キー属性](key-attribute-table.md)を変更したり、暗号化オペレーションでのキーの使用を禁止したりはしません。同じキーを複数回エクスポートできます。 **exSymKey** は対称キーのみをエクスポートします。パブリックキーをエクスポートするには、[exportPubKey](key_mgmt_util-exportPubKey.md) を使用します。プライベートキーをエクスポートするには、[exportPrivateKey](key_mgmt_util-exportPrivateKey.md) を使用します。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` exSymKey -h exSymKey -k -w -out [-m 4] [-wk ] ``` ## 例 以下の例では、**exSymKey** を使用してユーザーが所有する対称キーを HSM からエクスポートする方法を示しています。 **Example : 3 DES 対称キーをエクスポートする** 次のコマンドでは、Triple DES (3DES) 対称キー (キーハンドル `7`) をエクスポートします。HSM の既存の AES キー (キーハンドル `6`) をラップキーとして使用します。次に、3DES キーのプレーンテキストを `3DES.key` ファイルに書き込みます。 出力は、キー `7` (3DES キー) が正常にラップ/ラップ解除されて `3DES.key` ファイルに書き込まれたことを示しています。 出力では「ラップされた対称キー」が出力ファイルに書き込まれたことになっていますが、出力ファイルに含まれているのはプレーンテキスト (ラップ解除された) キーです。 ``` Command: exSymKey -k 7 -w 6 -out 3DES.key Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS Wrapped Symmetric Key written to file "3DES.key" ``` **Example : セッション専用のラップキーでエクスポートする** 次の例では、セッションでのみ有効なキーをラップキーとして使用する方法を示します。エクスポートするキーはラップされた後で、すぐにラップ解除されて、プレーンテキストとして配信されるため、ラップキーを保持する必要はありません。 以下のコマンドでは、キーハンドル `8` の AES キーを HSM からエクスポートします。このために専用の AES セッションキーを作成して使用します。 最初のコマンドでは、[genSymKey](key_mgmt_util-genSymKey.md) を使用して 256 ビット AES キーを作成します。`-sess` パラメータを使用して、現在のセッションでのみ有効なキーを作成します。 出力は、HSM でキー `262168` が作成されたことを示しています。 ``` Command: genSymKey -t 31 -s 32 -l AES-wrapping-key -sess Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS Symmetric Key Created. Key Handle: 262168 Cluster Error Status Node id 1 and err state 0x00000000 : HSM Return: SUCCESS ``` 次の例では、キー `8` (エクスポートするキー) が抽出可能な対称キーであることを検証します。また、ラップキー (キー `262168`) がセッションでのみ有効な AES キーであることも検証します。[findKey](key_mgmt_util-findKey.md) コマンドを使用することもできますが、この例では両方のキーの属性をファイルにエクスポートし、`grep` を使用してファイルの関連する属性値を見つけます。 以下のコマンドでは、`getAttribute` で `-a` 値として `512` (すべて) を使用し、キー `8` とキー `262168` のすべての属性を取得します。キー属性の詳細については、「[AWS CloudHSM KMU のキー属性リファレンス](key-attribute-table.md)」を参照してください。 ``` getAttribute -o 8 -a 512 -out attributes/attr_8 getAttribute -o 262168 -a 512 -out attributes/attr_262168 ``` 以下のコマンドでは、`grep` を使用してエクスポートするキー (キー `8`) の属性と、セッション専用のラップキー (キー `262168`) を検証します。 ``` // Verify that the key to be exported is a symmetric key. $ grep -A 1 "OBJ_ATTR_CLASS" attributes/attr_8 OBJ_ATTR_CLASS 0x04 // Verify that the key to be exported is extractable. $ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_8 OBJ_ATTR_EXTRACTABLE 0x00000001 // Verify that the wrapping key is an AES key $ grep -A 1 "OBJ_ATTR_KEY_TYPE" attributes/attr_262168 OBJ_ATTR_KEY_TYPE 0x1f // Verify that the wrapping key is a session key $ grep -A 1 "OBJ_ATTR_TOKEN" attributes/attr_262168 OBJ_ATTR_TOKEN 0x00 // Verify that the wrapping key can be used for wrapping $ grep -A 1 "OBJ_ATTR_WRAP" attributes/attr_262168 OBJ_ATTR_WRAP 0x00000001 ``` 最後に、**exSymKey** コマンドを使用してキー `8` をエクスポートします。ラップキーとしてセッションキー (キー `262168`) を使用します。 セッションが終了すると、キー `262168` は消滅します。 ``` Command: exSymKey -k 8 -w 262168 -out aes256_H8.key Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS Wrapped Symmetric Key written to file "aes256_H8.key" ``` **Example : 外部のラップ解除キーを使用する** 次の例では、外部のラップ解除キーを使用して HSM からキーをエクスポートする方法を示します。 HSM からキーをエクスポートする場合、HSM の AES キーをラップキーとして指定します。デフォルトでは、そのラップキーを使用して、エクスポートするキーがラップおよびラップ解除されます。ただし、`-wk` パラメータを使用すると、**exSymKey** でディスク上のファイルにある外部キーを使用してラップ解除できます。この場合は、`-w` パラメータで指定したキーでターゲットキーをラップし、`-wk` パラメータで指定したファイルのキーでラップ解除します。 ラップキーは AES (対称) キーである必要があるため、HSM のラップキーとディスク上のラップ解除キーは、キーマテリアルが同じであることが必要です。そのためには、エクスポートオペレーションに先立って、HSM に対するラップキーのインポートまたはエクスポートを行う必要があります。 次の例では、HSM の外部でキーを作成して HSM 内にインポートします。エクスポートする対称キーはキーの内部コピーでラップし、ファイルのキーのコピーでラップ解除します。 最初のコマンドでは、OpenSSL を使用して 256 ビット AES キーを生成します。生成したキーは、`aes256-forImport.key` ファイルに保存されます。OpenSSL コマンドから返される出力はありませんが、いくつかのコマンドを使用して成功したかどうかを確認できます。次の例では、**wc** (ワードカウント) ツールを使用してファイルに 32 バイトのデータが保存されていることを確認しています。 ``` $ openssl rand -out keys/aes256-forImport.key 32 $ wc keys/aes256-forImport.key 0 2 32 keys/aes256-forImport.key ``` 次の例では、[imSymKey](key_mgmt_util-imSymKey.md) コマンドを使用して `aes256-forImport.key` ファイルから HSM に AES キーをインポートします。コマンドが完了すると、キーはキーハンドル `262167` で HSM の `aes256-forImport.key` ファイルに格納されます。 ``` Command: imSymKey -f keys/aes256-forImport.key -t 31 -l aes256-imported -w 6 Cfm3WrapHostKey returned: 0x00 : HSM Return: SUCCESS Cfm3CreateUnwrapTemplate returned: 0x00 : HSM Return: SUCCESS Cfm3UnWrapKey returned: 0x00 : HSM Return: SUCCESS Symmetric Key Unwrapped. Key Handle: 262167 Cluster Error Status Node id 1 and err state 0x00000000 : HSM Return: SUCCESS Node id 0 and err state 0x00000000 : HSM Return: SUCCESS ``` 次のコマンドでは、エクスポートオペレーションでキーを使用します。このコマンドでは、**exSymKey** を使用してキー `21` (192 ビット AES キー) をエクスポートします。キーをラップするために、HSM 内にコピーとしてインポートしたキー `262167` を使用します。キーをラップ解除するには、`aes256-forImport.key` の同じキーマテリアルを使用します。コマンドが完了すると、キー `21` は `aes192_h21.key` ファイルにエクスポートされます。 ``` Command: exSymKey -k 21 -w 262167 -out aes192_H21.key -wk aes256-forImport.key Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS Wrapped Symmetric Key written to file "aes192_H21.key" ``` ## パラメータ **-h** コマンドに関するヘルプを表示します。 必須: はい **-k** エクスポートするキーのキーハンドルを指定します。このパラメータは必須です。所有する対称キーのキーハンドルを入力します。このパラメータは必須です。キーハンドルを見つけるには、[findKey](key_mgmt_util-findKey.md) コマンドを使用します。 キーがエクスポート可能であることを検証するには、[getAttribute](key_mgmt_util-getAttribute.md) コマンドを使用して、`OBJ_ATTR_EXTRACTABLE` 属性の値を取得します。この属性は定数 `354` で表されます。また、ユーザーが所有するキーのみをエクスポートすることもできます。キーの所有者を確認するには、[getKeyInfo](key_mgmt_util-getKeyInfo.md) コマンドを使用します。 必須: はい **-w** ラップキーのキーハンドルを指定します。このパラメータは必須です。キーハンドルを見つけるには、[findKey](key_mgmt_util-findKey.md) コマンドを使用します。 *ラップキー*は、エクスポートするキーの暗号化 (ラップ) と復号 (ラップ解除) に使用する HSM のキーです。ラップキーとして使用できるのは AES キーのみです。 任意の AES キー (任意のサイズ) をラップキーとして使用できます。ラップキーは、ターゲットキーをラップし、直後にラップ解除するため、セッション専用の AES キーをラップキーとして使用できます。キーをラップキーとして使用できるかどうかを確認するには、[getAttribute](key_mgmt_util-getAttribute.md) を使用して、`OBJ_ATTR_WRAP` 属性の値を取得します。この属性は定数 `262` で表されます。ラップキーを作成するには、[genSymKey](key_mgmt_util-genSymKey.md) を使用して AES キー (タイプ 31) を作成します。 `-wk` パラメータを使用して外部のラップ解除キーを指定すると、エクスポート時に `-w` ラップキーがラップに使用されます。ただし、ラップ解除には使用されません。 キー 4 は、サポートされていない内部キーを表します。AES キーをラップキーとして作成および管理することをお勧めします。 必須: はい **-out** 出力ファイルのパスと名前を指定します。コマンドが成功すると、このファイルに、エクスポートされたキーがプレーンテキストとして配置されます。既存のファイルがある場合は、警告なしに上書きされます。 必須: はい **-m** ラップ方法を指定します。唯一の有効な値は `4` です。これは `NIST_AES_WRAP` メカニズムを表します。 必須: いいえ デフォルト: 4 **-wk** 指定したファイルの AES キーを使用して、エクスポートするキーをラップ解除します。プレーンテキストの AES キーが含まれているファイルのパスと名前を入力します。 このパラメータを含める場合、`exSymKey` は、`-w` パラメータで指定した HSM のキーを使用してエクスポートするキーをラップし、`-wk` ファイルのキーを使用してラップ解除します。`-w` パラメータと `-wk` パラメータの値は同じプレーンテキストのキーに解決される必要があります。 必須: いいえ デフォルト: HSM のラップキーを使用してラップ解除します。 ## 関連トピック + [genSymKey](key_mgmt_util-genSymKey.md) + [imSymKey](key_mgmt_util-imSymKey.md) + [wrapKey](key_mgmt_util-wrapKey.md) # KMU を使用して AWS CloudHSM キーを抽出する AWS CloudHSM key\$1mgmt\$1util の **extractMaskedObject** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) からキーを抽出し、マスクされたオブジェクトとしてファイルに保存します。マスクされたオブジェクトとは、*クローンされた*オブジェクトで、**[insertMaskedObject](key_mgmt_util-insertMaskedObject.md)** コマンドを使用して再び元のクラスターに挿入して初めて使用可能になります。マスクされたオブジェクトは、生成元であるクラスター、またはそのクラスターのクローンにしか挿入できません。これには、[リージョン間でのバックアップのコピー](copy-backup-to-region.md)によって生成されたクラスターのクローンバージョンや、[そのバックアップを使って新しいクラスターを作成することで](create-cluster-from-backup.md)生成されたクラスターのクローンバージョンが含まれます。 マスクされたオブジェクトは、抽出不可能なキー ([`OBJ_ATTR_EXTRACTABLE`](key-attribute-table.md) 値が `0` であるキー) を含め、キーを効率的にオフロードおよび同期する手段です。これにより、 AWS CloudHSM [設定ファイル](configure-tool.md)を更新することなく、異なるリージョンの関連するクラスター間でキーを安全に同期できます。 **重要** マスクされたオブジェクトは、挿入時に復号され、元のキーのキーハンドルとは異なるキーハンドルを与えられます。マスクされたオブジェクトには、属性、所有権、共有情報、クォーラム設定など、元のキーに関連付けられているすべてのメタデータが含まれます。アプリケーションのクラスター間でキーを同期する必要がある場合は、代わりに cloudhsm\$1mgmt\$1util で [syncKey](cloudhsm_mgmt_util-syncKey.md) を使用してください。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、 HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。**extractMaskedObject** コマンドは、キーを所有する CU または任意の CO が使用できます。 ## Syntax ``` extractMaskedObject -h extractMaskedObject -o -out ``` ## 例 この例は、**extractMaskedObject** を使い、HSM のキーをマスクされたオブジェクトとして抽出する方法を示します。 **Example : マスクされたオブジェクトを抽出する** このコマンドは、HSM のハンドルが `524295` であるキーからマスクされたオブジェクトを抽出し、`maskedObj` というファイルとして保存します。**extractMaskedObject** は、コマンドが成功すると成功メッセージを返します。 ``` Command: extractMaskedObject -o 524295 -out maskedObj Object was masked and written to file "maskedObj" Cfm3ExtractMaskedObject returned: 0x00 : HSM Return: SUCCESS ``` ## パラメータ このコマンドでは、以下のパラメータを使用します。 **`-h`** コマンドのコマンドラインヘルプを表示します 必須: はい **`-o`** マスクされたオブジェクトとして抽出するキーのハンドルを指定します。 必須: はい **`-out`** マスクされたオブジェクトの保存先とするファイルの名前を指定します。 必須: はい ## 関連トピック + [insertMaskedObject](key_mgmt_util-insertMaskedObject.md) + [syncKey](cloudhsm_mgmt_util-syncKey.md) + [リージョン間のバックアップのコピー](copy-backup-to-region.md) + [以前のバックアップからの AWS CloudHSM クラスターの作成](create-cluster-from-backup.md) # KMU を使用して属性で AWS CloudHSM キーを検索する AWS CloudHSM key\$1mgmt\$1util の **findKey** コマンドを使用して、キー属性の値でキーを検索します。設定したすべての基準にキーが一致すると、**findKey** はキーハンドルを返します。パラメータがない場合、**findKey** は HSM で使用できるすべてのキーのキーハンドルを返します。特定のキーの属性値を検索するには、[getAttribute](key_mgmt_util-getAttribute.md) を使用します。 すべての key\$1mgmt\$1util コマンドと同様に、**findKey** はユーザー固有です。暗号化オペレーションで現在のユーザーが使用できるキーのみが返されます。これには、現在のユーザーが所有しているキーおよび現在のユーザーと共有されているキーが含まれます。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` findKey -h findKey [-c ] [-t ] [-l ] [-id ] [-sess (0 | 1)] [-u ] [-m ] [-kcv ] ``` ## 例 この例では、**findKey** を使用して HSM でキーを検索および特定する方法を示します。 **Example : すべてのキーを検索する** このコマンドは、HSM の現在のユーザーのすべてのキーを検索します。出力には、そのユーザーが所有および共有しているキーと、HSM のすべてのパブリックキーが含まれます。 特定のキーハンドルを持つキーの属性を取得するには、[getAttribute](key_mgmt_util-getAttribute.md) を使用します。現在のユーザーが特定のキーを所有しているか共有しているかを判断するには、cloudhsm\$1mgmt\$1util で [getKeyInfo](key_mgmt_util-getKeyInfo.md) または [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md) を使用します。 ``` Command: findKey Total number of keys present 13 number of keys matched from start index 0::12 6, 7, 524296, 9, 262154, 262155, 262156, 262157, 262158, 262159, 262160, 262161, 262162 Cluster Error Status Node id 1 and err state 0x00000000 : HSM Return: SUCCESS Node id 0 and err state 0x00000000 : HSM Return: SUCCESS Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS ``` **Example : タイプ、ユーザー、およびセッションでキーを検索する** 次のコマンドでは、現在のユーザーとユーザー 3 が使用できる永続 AES キーを検索します (ユーザー 3 は、現在のユーザーが表示できない他のキーを使用できる場合があります)。 ``` Command: findKey -t 31 -sess 0 -u 3 ``` **Example : クラスおよびラベルでキーを検索する** 次のコマンドでは、`2018-sept` ラベルで現在のユーザーのすべてのパブリックキーを検索します。 ``` Command: findKey -c 2 -l 2018-sept ``` **Example : モジュラスで RSA キーを検索する** 次のコマンドでは、`m4.txt` ファイルのモジュラスを使用して作成された、現在のユーザーの RSA キー (タイプ 0) を検索します。 ``` Command: findKey -t 0 -m m4.txt ``` ## パラメータ **-h** コマンドに関するヘルプを表示します。 必須: はい **-t** 指定されたタイプのキーを検索します。キークラスを表す定数を入力します。たとえば、3DES キーを検索するには、`-t 21` と入力します。 有効な値: + 0: [RSA](https://en.wikipedia.org/wiki/RSA_(cryptosystem)) + 1: [DSA](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm) + 3: [EC](https://en.wikipedia.org/wiki/Elliptic-curve_cryptography) + 16: [GENERIC\$1SECRET](http://docs.oasis-open.org/pkcs11/pkcs11-curr/v2.40/cos01/pkcs11-curr-v2.40-cos01.html#_Toc408226962) + 18: [RC4](https://en.wikipedia.org/wiki/RC4) + 21: [Triple DES (3DES)](https://en.wikipedia.org/wiki/Triple_DES) + 31: [AES](https://en.wikipedia.org/wiki/Advanced_Encryption_Standard) 必須: いいえ **-c** 指定されたクラスのキーを検索します。キークラスを表す定数を入力します。たとえば、パブリックキーを検索するには「`-c 2`」と入力します。 各キータイプに有効な値: + 2: パブリック。このクラスには、公開 - プライベートのキーペアの公開キーが含まれています。 + 3: プライベート。このクラスには、公開 - プライベートのキーペアの公開キーが含まれています。 + 4: シークレット。このクラスには、対称キーすべてが含まれています。 必須: いいえ **-I** 指定されたラベルのキーを検索します。正確なラベルを入力します。`--l` 値にはワイルドカード文字も正規表現も使用できません。 必須: いいえ **-id** 指定された ID のキーを検索します。正確な ID 文字列を入力します。`-id` 値にはワイルドカード文字も正規表現も使用できません。 必須: いいえ **-sess** セッションステータスでキーを検索します。現在のセッションでのみ有効なキーを検索するには「`1`」と入力します。永続キーを検索するには「`0`」と入力します。 必須: いいえ **-u** 指定されたユーザーと現在のユーザーが共有しているキーを検索します。HSM ユーザー ID のカンマ区切りリスト (`-u 3` や `-u 4,7` など) を入力します。HSM のユーザーの ID を検索するには、[listUsers](key_mgmt_util-listUsers.md) を使用します。 1 つのユーザー ID を指定すると、**findKey** はそのユーザーのキーを返します。複数のユーザー ID を指定すると、**findKey** は指定したユーザーすべてが使用できるキーを返します。 **findKey** は現在のユーザーが使用できるキーのみを返すため、`-u` の結果は常に、現在のユーザーのキーと同じかそのサブセットです。任意のユーザーが所有または共有するすべてのキーを取得するために、暗号オフィサー (CO) は cloudhsm\$1mgmt\$1util の [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md) を使用できます。 必須: いいえ **-m** 指定したファイルの RSA モジュラスを使用して作成されたキーを検索します。モジュラスを保存するファイルのパスを入力します。 -m は、一致する RSA モジュラスを含むバイナリファイルを指定します (オプション)。 必須: いいえ **-kcv** 指定されたキーのチェック値のキーを検索します。 *キーチェック値* (KCV) は、HSM がキーをインポートまたは生成するときに生成されるキーの3バイトのハッシュまたはチェックサムです。キーをエクスポートした後など、HSM の外部で KCV を計算することもできます。次に、KCV 値を比較して、キーのアイデンティティと整合性を確認できます。キーの KCV を取得するには、[getAttribute](key_mgmt_util-getAttribute.md) を使用します。 AWS CloudHSM は、次の標準メソッドを使用してキーチェック値を生成します。 + **対称キー**: ゼロブロックをキーで暗号化した結果の最初の 3 バイト。 + **非対称キーペア**: 公開キーの SHA-1 ハッシュの最初の 3 バイト。 + **HMAC キー **: 現時点では、HMAC キーの KCV はサポートされていません。 必須: いいえ ## Output **findKey** の出力には、一致するキーの合計数とそのキーハンドルが一覧表示されます。 ``` Command: findKey Total number of keys present 10 number of keys matched from start index 0::9 6, 7, 8, 9, 10, 11, 262156, 262157, 262158, 262159 Cluster Error Status Node id 1 and err state 0x00000000 : HSM Return: SUCCESS Node id 2 and err state 0x00000000 : HSM Return: SUCCESS Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS ``` ## 関連トピック + [findSingleKey](key_mgmt_util-findSingleKey.md) + [getKeyInfo](key_mgmt_util-getKeyInfo.md) + [getAttribute](key_mgmt_util-getAttribute.md) + cloudhsm\$1mgmt\$1util の中の [findAllKeys](cloudhsm_mgmt_util-findAllKeys.md) です。 + [キー属性リファレンス](key-attribute-table.md) # KMU を使用して AWS CloudHSM キーを検証する AWS CloudHSM key\$1mgmt\$1util ツールの **findSingleKey** コマンドを使用して、 AWS CloudHSM クラスター内のすべてのハードウェアセキュリティモジュール (HSM) にキーが存在することを確認します。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start)、Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 ## Syntax ``` findSingleKey -h findSingleKey -k ``` ## 例 **Example** 次のコマンドでは、クラスターの 3 つすべての HSM にキー `252136` が存在することを検証します。 ``` Command: findSingleKey -k 252136 Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS Cluster Error Status Node id 2 and err state 0x00000000 : HSM Return: SUCCESS Node id 1 and err state 0x00000000 : HSM Return: SUCCESS Node id 0 and err state 0x00000000 : HSM Return: SUCCESS ``` ## パラメータ **-h** コマンドに関するヘルプを表示します。 必須: はい **-k** HSM で 1 つのキーのキーハンドルを指定します。このパラメータは必須です。 キーハンドルを見つけるには、[findKey](key_mgmt_util-listUsers.md) コマンドを使用します。 必須: はい ## 関連トピック + [findKey](key_mgmt_util-listUsers.md) + [getKeyInfo](key_mgmt_util-listUsers.md) + [getAttribute](key_mgmt_util-findKey.md) # KMU を使用して AWS CloudHSM DSA キーペアを生成する AWS CloudHSM key\$1mgmt\$1util ツールの **genDSAKeyPair** コマンドを使用して、ハードウェアセキュリティモジュール (HSM) [でデジタル署名アルゴリズム](https://en.wikipedia.org/wiki/Digital_Signature_Algorithm) (DSA) キーペアを生成します。ユーザーは、モジュラスの長さを指定する必要があります。モジュラスの値はコマンドで生成されます。ユーザーは、ID を割り当て、他の HSM ユーザーとキーを共有し、抽出不可のキーとセッション終了時に失効するキーを作成することもできます。コマンドが成功すると、*キーハンドル*が返されます。HSM は、このキーハンドルをパブリックキーとプライベートキーに割り当てます。このキーハンドルでキーを識別することで、他のコマンドでキーを使用できます。 key\$1mgmt\$1util コマンドを実行する前に、[key\$1mgmt\$1util を起動し](key_mgmt_util-setup.md#key_mgmt_util-start) Crypto User (CU) として HSM に [ログインする](key_mgmt_util-log-in.md) 必要があります。 **ヒント** タイプ、長さ、ラベル、ID など、作成したキーの属性を検索するには、[getAttribute](key_mgmt_util-getAttribute.md) を使用します。特定のユーザーのキーを見つけるには、[getKeyInfo](key_mgmt_util-getKeyInfo.md) を使用します。属性値に基づいてキーを検索するには、[findKey](key_mgmt_util-findKey.md) を使用します。 ## 構文 ``` genDSAKeyPair -h genDSAKeyPair -m -l