使用 CloudHSM CLI 在为 AWS CloudHSM 启用仲裁身份验证的情况下进行密钥管理和使用

启动 CloudHSM CLI。

以加密用户身份登录集群。

aws-cloudhsm > login --username <crypto_user1> --role crypto-user --password password123

此示例使用 crypto-user 角色将 crypto_user1 登录 CloudHSM CLI。将这些值替换为您自己的值。

{
  "error_code": 0,
  "data": {
    "username": "crypto_user1",
    "role": "crypto-user"
  }
}

使用 quorum token-sign generate 命令生成仲裁令牌。

在以下命令中，key-usage 标识您将在其中使用所生成之令牌的服务名称。在这种情况下，令牌用于密钥使用操作（key-usage 服务）。此示例使用 --filter 标志将令牌与特定密钥相关联。

aws-cloudhsm > quorum token-sign generate --service key-usage --token </path/crypto_user1.token> --filter attr.label=rsa-private-key-example
{
  "error_code": 0,
  "data": {
    "path": "/home/crypto_user1.token"
  }
}

此示例将为用户名为 crypto_user1 的加密用户获取一个仲裁令牌，并将该令牌保存到一个名为 crypto_user1.token 的文件中。要使用示例命令，可将这些值替换为您自己的值：

quorum token-sign generate 命令在指定的文件路径上生成密钥使用服务仲裁令牌。可以查看以下令牌文件：

$ cat </path/crypto_user1.token>
{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": []
}

令牌路径包含以下内容：

验证新的用户服务仲裁令牌。quorum token-sign list 命令确认该令牌存在于 CloudHSM 上。

aws-cloudhsm > quorum token-sign list
{
  "error_code": 0,
  "data": {
    "tokens": [
      {
        "username": "crypto_user",
        "service": "key-usage",
        "key-reference": "0x0000000000680006",
        "minimum-token-count": 2
      }
    ]
  }
}

minimum-token-count 显示了从集群中单个 HSM 检索到的与用户名、服务和密钥引用相对应的最小可用密钥令牌数量的聚合集群视图。

例如，假设一个 2-HSM 集群，如果我们从集群中的第一个 HSM 接收到由用户 crypto_user1 为引用为 0x0000000000680006 的密钥生成的两（2）个密钥使用令牌，并且我们从集群中的另一个 HSM 接收到由用户 crypto_user1 为引用为 0x0000000000680006 的密钥生成的一（1）个密钥使用令牌，我们将显示 "minimum-token-count": 1。

解码 base64 编码的未签名令牌，并将其放入二进制文件：

$echo -n '5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=' | base64 -d > crypto_user1.bin

使用 OpenSSL 和批准者的私有密钥为未签名的二进制仲裁令牌签名，以获取用户服务和创建二进制签名文件：

$openssl pkeyutl -sign \
-inkey crypto_user1.key \
-pkeyopt digest:sha256 \
-keyform PEM \
-in crypto_user1.bin \
-out crypto_user1.sig.bin

将二进制签名编码为 base64：

$ base64 -w0 crypto_user1.sig.bin > crypto_user1.sig.b64

按此前批准者签名指定的 JSON 对象文字格式，将 base64 编码签名复制并粘贴至令牌文件。

{
  "version": "2.0",
  "service": "key-usage",
  "key_reference": "0x0000000000680006",
  "approval_data": "AAIABQAAABkAAAAAAGgABi5CDa9x9VyyRIaFbkSrHgJjcnlwdG9fdXNlcgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABnPQBLAAAAAAAAAAAAAgAFAAAAGgAAAAAAaAAGQvd2qKY+GJj8gXo9lKuANGNyeXB0b191c2VyAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGc9AEsAAAAAAAAAAA==",
  "token": "5GlgoWOlQU4fw4QIlbxkPGZVOVoDugFGuSKE/k67ncM=",
  "signatures": [
    {
      "username": "crypto_user1",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    },
    {
      "username": "crypto_user2",
      "role": "crypto-user",
      "signature": "wa7aPzmGwBjcEoZ6jAzYASp841AfgOvcI27Y/tGlCj1E9DawnFw5Uf0IJT2Ca7T5XD2ThVkUi0B+dhAomdqYNl6aUUFrJyH9GBJ+E0PmA5jNVm25tzeRWBJzneTg4/zTeE2reNqrHFHicWnttQLe9jS09J1znuDGWDe0HaBKWUaz2gUInJRqmeXDsZYdSvZksrqUH5dci/RsaDE2+tGiS9g0RcIkFbsPW4HpGe2e5HVzGsqrV8O3PKlYQv6+fymfcNTTuoxKcHAkOjpl43QSuSIu2gVq7KI8mSmmWaPJL47NPjmcBVB5vdEQU+oiukaNfLJr+MoDKzAvCGDg4cDArg=="
    }
  ]
}