CloudHSM CLI를 사용하여 AWS CloudHSM에서 쿼럼 인증이 활성화된 키 관리 및 사용

CloudHSM CLI를 시작합니다.

Crypto User로 클러스터에 로그인합니다.

aws-cloudhsm > login --username <crypto_user1> --role crypto-user --password password123

이 예제에서는 crypto_user1이 crypto-user 역할을 사용하여 CloudHSM CLI에 로그인합니다. 이러한 값을 사용자의 값으로 대체합니다.

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

quorum token-sign generate 명령을 사용하여 쿼럼 토큰을 생성합니다.

다음 명령에서 key-usage는 생성 중인 토큰을 사용할 서비스 이름을 식별합니다. 이 경우 토큰은 키 사용 작업(key-usage 서비스)을 위한 것입니다. 이 예제에서는 --filter 플래그를 사용하여 토큰을 특정 키와 연결합니다.

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

이 예에서는 사용자 이름이 crypto_user1인 Crypto User에 대한 쿼럼 토큰을 가져오고 해당 토큰을 crypto_user1.token라는 파일에 저장합니다. 예제 명령을 사용하려면 이들 값을 본인의 것으로 바꿉니다.

quorum token-sign generate 명령은 지정된 파일 경로에 키 사용 서비스 쿼럼 토큰을 생성합니다. 토큰 파일을 검사할 수 있습니다.

$ cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

토큰 파일은 다음으로 구성됩니다.

새 사용자 서비스 쿼럼 토큰을 검증합니다. quorum token-sign list 명령은 토큰이 CloudHSM에 존재하는지 확인합니다.

aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

minimum-token-count는 클러스터의 단일 HSM에서 검색되는 사용자 이름, 서비스, 키 참조에 해당하는 사용 가능한 최소 키 토큰 수에 대해 집계된 클러스터 보기를 제공합니다.

예를 들어 2-HSM 클러스터를 가정할 경우, 클러스터의 첫 번째 HSM에서 0x0000000000680006 참조로 키에 대해 crypto_user1 사용자가 생성한 키 사용 토큰 2개를 수신하고 클러스터의 다른 HSM에서 0x0000000000680006 참조로 키에 대해 crypto_user1 사용자가 생성한 키 사용 토큰 1개를 수신하면 "minimum-token-count": 1가 표시됩니다.

base64로 인코딩된 서명되지 않은 토큰을 디코딩하여 바이너리 파일에 배치합니다:

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

OpenSSL과 승인자의 프라이빗 키를 사용하여 사용자 서비스에 대한 바이너리 쿼럼의 서명되지 않은 토큰에 서명하고 바이너리 서명 파일을 생성합니다.

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

바이너리 서명을 base64로 인코딩합니다.

$ base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

앞서 승인자 서명에 대해 지정한 JSON 객체 리터럴 형식을 사용하여 base64로 인코딩된 서명을 복사하고 토큰 파일에 붙여넣습니다.

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}