CloudHSM CLI 支持的属性 - AWS CloudHSM

CloudHSM CLI 支持的属性

作为最佳实践，仅为应受限的属性设置值。如果您未指定值，CloudHSM CLI 将使用下表中指定的默认值。

下表列出了 CloudHSM CLI 的密钥属性、可能的值、默认值和相关说明。值列中的空单元格表示没有给该属性分配特定的默认值。

CloudHSM CLI 属性 值 可使用 key set-attribute 进行修改 可在创建密钥时进行设置
always-sensitive

如果 sensitive 一直设置为 True 且从未改变，则该值为 True。

 否 否
check-value 密钥的检查值。有关更多信息，请参阅其他详细信息。 否 否
class

可能的值：secret-key、public-key 和 private-key。

 否 是
curve

用于生成 EC 密钥对的椭圆曲线。

有效值：secp224r1、secp256r1、prime256v1、secp384r1、secp256k1 和 secp521r1

 否 可使用 EC 设置，不可使用 RSA 设置
decrypt

默认值：False

 支持 是
derive

默认值：False

 派生可以在 hsm2m.medium 实例上设置。无法为 hsm1.medium 实例上的 RSA 密钥设置。 是
destroyable

默认值：True

 支持 是
ec-point

对于 EC 密钥，十六进制格式的 ANSI X9.62 ecPoint 值 Q 的 DER 编码。

对于其他密钥类型，此属性不存在。

 否 否
encrypt

默认值：False

 支持 是
extractable

默认值：True

 否 是
id 默认值：空 ID 可以在 hsm2m.medium 实例上设置。无法在 hsm1.medium 实例上设置。 是
key-length-bytes

生成 AES 密钥所必需的。

有效值：16、24、和 32 字节。

 否 否
key-type

可能的值：aes、rsa 和 ec

 否 是
label 默认值：空 支持 是
local

默认：对于在 HSM 中生成的密钥为 True，对于导入到 HSM 的密钥为 False。

 否 否
modifiable

默认值：True

 可以从 true 改为 false，但不能从 false 改为 true。 是
modulus 用于生成 RSA 密钥对的模数。对于其他密钥类型，此属性不存在。 否 否
modulus-size-bits

生成 RSA 密钥对所必需的。

最小值为 2048。

 否 可使用 RSA 进行设置，无法使用 EC 进行设置
never-extractable

如果从未将“可提取”设置为 False，则该值为 True。

如果曾将“可提取”设置为 True，则该值为 False。

 否 否
private

默认值：True

 否 是
public-exponent

生成 RSA 密钥对所必需的。

有效值：此值必须为大于或等于 65537 的奇数。

 否 可使用 RSA 进行设置，无法使用 EC 进行设置
sensitive

默认值：

  • 对于 AES 密钥以及 EC 和 RSA 私钥，该值为 True。

  • 对于 EC 和 RSA 公有密钥，该值为 False。

 否 可以用私钥设置，不能用公有密钥设置。
sign

默认值：

  • 对于 AES 密钥，该值为 True。

  • 对于 RSA 和 EC 密钥，该值为 False。

 支持 是
token

默认值：True

 可以从 false 改为 true，但不能从 true 改为 false。 是
trusted

默认值：False

 只有管理员用户可以设置此参数。 否
unwrap 默认值：False 是 是的，公有密钥除外。
unwrap-template 值应使用应用于使用此包装密钥解开包装的任何密钥的属性模板。 是 否
verify

默认值：

  • 对于 AES 密钥，该值为 True。

  • 对于 RSA 和 EC 密钥，该值为 False。

 支持 是
wrap 默认值：False 是 是的，私有密钥除外。
wrap-template 值应使用属性模板来匹配使用此包装密钥包装的密钥。 是 否
wrap-with-trusted

默认值：False

 支持 是