のキーストレージプロバイダー (KSP) の既知の問題 AWS CloudHSM - AWS CloudHSM
問題: 証明書ストアの検証が失敗する問題: クライアント SDK 5 で SDK3 互換モードを使用しているときの証明書ストアのコンテナ名の不整合

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

のキーストレージプロバイダー (KSP) の既知の問題 AWS CloudHSM

これらは、 のキーストレージプロバイダー (KSP) の既知の問題です AWS CloudHSM。

問題: 証明書ストアの検証が失敗する

Client SDK バージョン 5.14 および 5.15 を使用する場合、 を呼び出すと次のエラーがcertutil -store my CERTIFICATE_SERIAL_NUMBERスローされます。

ERROR: Could not verify certificate public key against private key

  • 影響: certutilを使用して、クライアント SDK 5 で作成された証明書ストアを検証することはできません。

  • 回避策: プライベートキーを使用してファイルに署名し、パブリックキーを使用して署名を検証することで、証明書に関連付けられたキーペアを検証します。これは、ここに記載されている手順に従って Microsoft SignTool を使用して実行できます。

  • 解決ステータス: を使用して証明書を検証するサポートを追加していますcertutil。修正は、利用可能なバージョン履歴ページで告知されます。

問題: クライアント SDK 5 で SDK3 互換モードを使用しているときの証明書ストアのコンテナ名の不整合

certutil -store my CERTIFICATE_SERIAL_NUMBER コマンドを使用して、 AWS CLI 5.16.0 の generate-file コマンドを使用してキー参照ファイルが生成された証明書を表示すると、次のエラーが発生します。

ERROR: Container name inconsistent: CONTAINER_NAME

このエラーは、証明書に保存されているコンテナ名と CloudHSM CLI によって生成されたキー参照ファイル名が一致しないために発生します。

  • 影響: このエラーにもかかわらず、証明書とそれに関連するキーは完全に機能し続けます。これらの証明書を使用するすべてのアプリケーションは、引き続き正常に動作します。

  • 回避策: このエラーを解決するには、キー参照ファイル名を Simple または Unique コンテナ名に変更します。コマンドの次のサンプル出力を参照してください。 certutil -store my

    Subject: CN=www.website.com, OU=Organizational-Unit, O=Organization, L=City, S=State, C=US 
Non-root Certificate
Cert Hash(sha1): 1add52
Key Container = 7e3c-b2f5
Simple container name: tq-3daacd89
Unique container name: tq-3daacd89
ERROR: Container name inconsistent: 7e3c-b2f5

    デフォルトでは、キーリファレンスファイルは に保存されます。 C:\Users\Default\AppData\Roaming\Microsoft\Crypto\CaviumKSP\GlobalPartition

    1. キーリファレンスファイルの名前をシンプルなコンテナ名に変更します。

    2. 新しいキーコンテナ名を使用して証明書ストアを修復します。詳細については、KSP 移行のステップ 12～14 を参照してください。

  • 解決ステータス: この問題はクライアント SDK バージョン 5.16.1 で修正されました。この問題を解決するには、クライアント SDK をバージョン 5.16.1 以降にアップグレードします。