本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # CloudHSM CLI 中的使用者類別在 CloudHSM CLI 中， **user** 是一組命令的父類別，當與父類別結合時，會建立使用者專屬的命令。目前，用戶類別由以下命令組成： + [變更使用者 MFA](cloudhsm_cli-user-change-mfa.md) + [變更使用者密碼](cloudhsm_cli-user-change-password.md) + [建立使用者](cloudhsm_cli-user-create.md) + [刪除使用者](cloudhsm_cli-user-delete.md) + [使用者清單](cloudhsm_cli-user-list.md) + [使用者複寫](cloudhsm_cli-user-replicate.md) # CloudHSM CLI 中的使用者 change-mfa 類別在 CloudHSM CLI 中， **user change-mfa** 是一組命令的父類別，當與父類別結合時，為使用者建立特定於變更多重要素驗證 (MFA) 的命令。目前，此類別由以下子命令組成： + [字符簽署](cloudhsm_cli-user-change-mfa-token-sign.md) # 使用 CloudHSM CLI 變更使用者的 MFA 設定在 CloudHSM CLI 中使用 **user change-mfa token-sign**命令來更新使用者帳戶的多重要素驗證 (MFA) 設定。任何使用者帳戶均可執行此命令。具有管理員角色的帳戶可以為其他使用者執行此命令。 ## 使用者類型下列使用者可以執行此命令。 + 管理員 + 加密使用者 ## 語法目前，只有單一多重因素策略可供使用者使用：字符簽署。 ``` aws-cloudhsm > help user change-mfa Change a user's Mfa Strategy Usage: user change-mfa Commands: token-sign Register or Deregister a public key using token-sign mfa strategy help Print this message or the help of the given subcommand(s) ``` Token Sign 策略需要一個權杖檔案將未簽署的權杖寫入其中。 ``` aws-cloudhsm > help user change-mfa token-sign Register or Deregister a public key using token-sign mfa strategy Usage: user change-mfa token-sign [OPTIONS] --username --role <--token |--deregister> Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --username Username of the user that will be modified --role Role the user has in the cluster Possible values: - crypto-user: A CryptoUser has the ability to manage and use keys - admin: An Admin has the ability to manage user accounts --change-password Optional: Plaintext user's password. If you do not include this argument you will be prompted for it --token Filepath where the unsigned token file will be written. Required for enabling MFA for a user --approval Filepath of signed quorum token file to approve operation --deregister Deregister the MFA public key, if present --change-quorum Change the Quorum public key along with the MFA key -h, --help Print help (see a summary with '-h') ``` ## 範例此命令會將叢集中每個 HSM 的未簽署權杖寫入 `token` 指定的檔案。當系統提示您時，請在檔案中簽署權杖。 **Example ：寫入叢集中每個 HSM 的未簽署權杖** ``` aws-cloudhsm > user change-mfa token-sign --username cu1 --change-password password --role crypto-user --token /path/myfile Enter signed token file path (press enter if same as the unsigned token file): Enter public key PEM file path:/path/mypemfile { "error_code": 0, "data": { "username": "test_user", "role": "admin" } } ``` ### 引數 ****** 要在其中執行此操作的叢集 ID。必要：如果已[設定多個叢集。](cloudhsm_cli-configs-multi-cluster.md) ****** 指賦予使用者帳戶的角色。此為必要參數。如需 HSM 上使用者類型的詳細資訊，請參閱[了解 HSM 使用者](manage-hsm-users.md)。 **有效值** + **管理員**：管理員可以管理使用者，但無法管理金鑰。 + **加密使用者**：加密使用者可以建立管理金鑰並在密碼編譯操作時使用該金鑰。 ****** 為使用者指定易記的名稱。長度上限為 31 個字元。允許的唯一特殊字元是底線 (\$1)。建立使用者之後，您就無法再變更使用者的名稱。在 CloudHSM CLI 命令中，角色和密碼需區分大小寫，但使用者名稱不區分大小寫。 **必要**：是 ****** 指正在註冊/取消註冊 MFA 使用者的純文字新密碼。 **必要**：是 ****** 將寫入未簽署權杖檔案的檔案路徑。 **必要**：是 ****** 指要核准操作的已簽署規定人數權杖檔案的檔案路徑。只有在規定人數使用者服務規定人數值大於 1 時才需要執行此操作。 ****** 取消註冊 MFA 公有金錀 (如有)。 ****** 變更規定人數公有金鑰以及 MFA 金鑰。 ## 相關主題 + [了解 HSM 使用者的 2FA](login-mfa-token-sign.md) # 使用 CloudHSM CLI 變更使用者的密碼使用 CloudHSM CLI 中的 **user change-password**命令來變更 AWS CloudHSM 叢集中現有使用者的密碼。若要為使用者啟用 MFA，請使用 `user change-mfa` 命令。任何使用者都可以變更自己的密碼。此外，具有管理員角色的使用者可以變更叢集中其他使用者的密碼。您無需輸入目前的密碼即可進行變更。 **注意** 您無法變更目前已登入叢集使用者的密碼。 ## 使用者類型下列使用者可以執行此命令。 + 管理員 + 加密使用者 (CU) ## 語法 **注意** 若要為使用者啟用多重要素驗證 (MFA)，請使用 **user change-mfa**命令。 ``` aws-cloudhsm > help user change-password Change a user's password Usage: cloudhsm-cli user change-password [OPTIONS] --username --role [--password ] Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --username Username of the user that will be modified --role Role the user has in the cluster Possible values: - crypto-user: A CryptoUser has the ability to manage and use keys - admin: An Admin has the ability to manage user accounts --password Optional: Plaintext user's password. If you do not include this argument you will be prompted for it --approval Filepath of signed quorum token file to approve operation --deregister-mfa Deregister the user's mfa public key, if present --deregister-quorum Deregister the user's quorum public key, if present -h, --help Print help (see a summary with '-h') ``` ## 範例以下範例說明如何使用 **user change-password** 重設叢集中目前使用者或其他任何使用者的密碼。 **Example ：變更您的密碼** 叢集中的任何使用者均可使用 **user change-password** 變更自己的密碼。以下輸出顯示 Bob 目前正以加密使用者 (CU) 的身分登入。 ``` aws-cloudhsm > user change-password --username bob --role crypto-user Enter password: Confirm password: { "error_code": 0, "data": { "username": "bob", "role": "crypto-user" } } ``` ## 引數 ****** 要執行此操作的叢集 ID。必要：如果已[設定多個叢集。](cloudhsm_cli-configs-multi-cluster.md) ****** 指要核准操作的已簽署規定人數權杖檔案的檔案路徑。只有在規定人數使用者服務規定人數值大於 1 時才需要執行此操作。 ****** 取消註冊 MFA 公有金錀 (如有)。 ****** 取消註冊規定人數公有鑰 (如有)。 ****** 指使用者的純文字新密碼。不允許使用下列字元 '：' **必要**：是 ****** 指賦予使用者帳戶的角色。此為必要參數。如需 HSM 上使用者類型的詳細資訊，請參閱[了解 HSM 使用者](manage-hsm-users.md)。 **有效值** + **管理員**：管理員可以管理使用者，但無法管理金鑰。 + **加密使用者**：加密使用者可以建立管理金鑰並在密碼編譯操作時使用該金鑰。 ****** 為使用者指定易記的名稱。長度上限為 31 個字元。允許的唯一特殊字元是底線 (\$1)。建立使用者之後，您就無法再變更使用者的名稱。在 CloudHSM CLI 命令中，角色和密碼需區分大小寫，但使用者名稱不區分大小寫。 **必要**：是 ## 相關主題 + [使用者清單](cloudhsm_cli-user-list.md) + [建立使用者](cloudhsm_cli-user-create.md) + [刪除使用者](cloudhsm_cli-user-delete.md) # CloudHSM CLI 中的使用者變更仲裁類別在 CloudHSM CLI 中， **user change-quorum** 是一組命令的父類別，當與父類別結合時，會為使用者建立特定於變更規定人數的命令。 **user change-quorum** 用於使用特定的規定人數策略註冊使用者規定人數驗證。如下所示：從 SDK 5.8.0 開始，使用者只能使用一種規定人數策略。目前，此類別由以下類別和子命令組成： + [字符簽署](cloudhsm_cli-user-chqm-token.md) + [註冊](cloudhsm_cli-user-chqm-token-reg.md) # CloudHSM CLI 中的使用者 change-quorum Token-sign 類別在 CloudHSM CLI 中， **user change-quorum token-sign** 是命令的父類別，當與此父類別結合時，會建立權杖簽署規定人數操作專屬的命令。目前，此類別由以下命令組成： + [註冊](cloudhsm_cli-user-chqm-token-reg.md) # 使用 CloudHSM CLI 註冊使用者的字符簽署規定人數策略使用 CloudHSM CLI 中的 **user change-quorum token-sign register** 命令為管理員使用者註冊規定人數字符簽署策略。 ## 使用者類型下列使用者可以執行此命令。 + 管理員 ## 語法 ``` aws-cloudhsm > help user change-quorum token-sign register Register a user for quorum authentication with a public key Usage: user change-quorum token-sign register --public-key --signed-token Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --public-key Filepath to public key PEM file --signed-token Filepath with token signed by user private key -h, --help Print help (see a summary with '-h') ``` ## 範例 **Example** 若要執行此命令，您須以您希望的使用者身分登入 **register quorum token-sign**。 ``` aws-cloudhsm > login --username admin1 --role admin Enter password: { "error_code": 0, "data": { "username": "admin1", "role": "admin" } } ``` 此 **user change-quorum token-sign register** 命令會向 HSM 註冊您的公有金鑰。因此，該命令可讓您作為規定人數核准人執行必要的核准操作，這些操作需要使用者取得規定人數簽章，以此滿足必要的規定人數值閾值。 ``` aws-cloudhsm > user change-quorum token-sign register \ --public-key /home/mypemfile \ --signed-token /home/mysignedtoken { "error_code": 0, "data": { "username": "admin1", "role": "admin" } } ``` 您現在可以執行 **user list** 命令，並確認已為此使用者註冊規定人數字符簽署。 ``` aws-cloudhsm > user list { "error_code": 0, "data": { "users": [ { "username": "admin", "role": "admin", "locked": "false", "mfa": [], "quorum": [], "cluster-coverage": "full" }, { "username": "admin1", "role": "admin", "locked": "false", "mfa": [], "quorum": [ { "strategy": "token-sign", "status": "enabled" } ], "cluster-coverage": "full" } ] } } ``` ## 引數 ****** 要在其中執行此操作的叢集 ID。必要：如果已[設定多個叢集。](cloudhsm_cli-configs-multi-cluster.md) ****** 公有金鑰 PEM 檔案的檔案路徑。 **必要**：是 ****** 帶有由使用者私有金錀簽署的權杖的文件路徑。 **必要**：是 ## 相關主題 + [使用 CloudHSM CLI 管理規定人數驗證](quorum-auth-chsm-cli.md) + [對管理員使用規定人數身分驗證：首次設定](quorum-auth-chsm-cli-first-time.md) + [變更管理員的規定人數最小值](quorum-auth-chsm-cli-min-value.md) + [支援規定人數身分驗證的服務名稱和類型](quorum-auth-chsm-cli-service-names.md) # 使用 CloudHSM CLI 建立 AWS CloudHSM 使用者 CloudHSM CLI 中的 **user create**命令會在 AWS CloudHSM 叢集中建立使用者。只有具有管理員角色的使用者帳戶可以執行此命令。 ## 使用者類型下列類型的使用者可以執行此命令。 + 管理員 ## 要求若要執行此命令，必須以管理員使用者的身分登入。 ## 語法 ``` aws-cloudhsm > help user create Create a new user Usage: cloudhsm-cli user create [OPTIONS] --username --role [--password ] Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --username Username to access the HSM cluster --role Role the user has in the cluster Possible values: - crypto-user: A CryptoUser has the ability to manage and use keys - admin: An Admin has the ability to manage user accounts --password Optional: Plaintext user's password. If you do not include this argument you will be prompted for it --approval Filepath of signed quorum token file to approve operation -h, --help Print help (see a summary with '-h') ``` ## 範例下列範例顯示如何使用 **user create** 在您的 HSM 中建立新使用者。 **Example ：建立加密使用者** 此範例會使用加密使用者角色在您的 AWS CloudHSM 叢集中建立帳戶。 ``` aws-cloudhsm > user create --username alice --role crypto-user Enter password: Confirm password: { "error_code": 0, "data": { "username": "alice", "role": "crypto-user" } } ``` ## 引數 ** 要執行此操作的叢集 ID。必要：如果已[設定多個叢集。](cloudhsm_cli-configs-multi-cluster.md) ** 為使用者指定易記的名稱。長度上限為 31 個字元。允許的唯一特殊字元是底線 (\$1)。在此命令中，使用者名稱不區分大小寫，使用者名稱始終以小寫顯示。必要：是 ** 指定指派給此使用者的角色。此為必要參數。有效值為 **admin**、**crypto-user**。若要取得使用者的角色，請使用 **user list** 命令。如需 HSM 上使用者類型的詳細資訊，請參閱[了解 HSM 使用者](manage-hsm-users.md)。 ** 指定登入 HSM 使用者的密碼。不允許使用下列字元 '：' 必要：是 ** 指要核准操作的已簽署規定人數權杖檔案的檔案路徑。只有在規定人數使用者服務規定人數值大於 1 時才需要執行此操作。 ## 相關主題 + [使用者清單](cloudhsm_cli-user-list.md) + [刪除使用者](cloudhsm_cli-user-delete.md) + [變更使用者密碼](cloudhsm_cli-user-change-password.md) # 使用 CloudHSM CLI 刪除 AWS CloudHSM 使用者 CloudHSM CLI 中的 **user delete**命令會從 AWS CloudHSM 叢集中刪除使用者。只有具有管理員角色的使用者帳戶可以執行此命令。您無法刪除目前登入 HSM 的使用者。 ## 使用者類型下列類型的使用者可以執行此命令。 + 管理員 ## 要求 + 您無法刪除擁有金鑰的使用者帳戶。 + 您的使用者帳戶必須具有管理員角色才能執行此命令。 ## 語法因為此命令未指明具體參數，所以您須依照語法圖表中指定的順序輸入引數。 ``` aws-cloudhsm > help user delete Delete a user Usage: user delete [OPTIONS] --username --role Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error --username Username to access the HSM cluster --role Role the user has in the cluster Possible values: - crypto-user: A CryptoUser has the ability to manage and use keys - admin: An Admin has the ability to manage user accounts --approval Filepath of signed quorum token file to approve operation ``` ## 範例 ``` aws-cloudhsm > user delete --username alice --role crypto-user { "error_code": 0, "data": { "username": "alice", "role": "crypto-user" } } ``` ## 引數 ****** 要執行此操作的叢集 ID。必要：如果已[設定多個叢集。](cloudhsm_cli-configs-multi-cluster.md) ****** 為使用者指定易記的名稱。長度上限為 31 個字元。允許的唯一特殊字元是底線 (\$1)。在此命令中，使用者名稱不區分大小寫，使用者名稱始終以小寫顯示。必要：是 ****** 指定指派給此使用者的角色。此為必要參數。有效值為 **admin**、**crypto-user**。若要取得使用者的角色，請使用 **user list** 命令。如需 HSM 上使用者類型的詳細資訊，請參閱[了解 HSM 使用者](manage-hsm-users.md)。必要：是 ****** 指要核准操作的已簽署規定人數權杖檔案的檔案路徑。只有在規定人數使用者服務規定人數值大於 1 時才需要執行此操作。必要：是 ## 相關主題 + [使用者清單](cloudhsm_cli-user-list.md) + [建立使用者](cloudhsm_cli-user-create.md) + [變更使用者密碼](cloudhsm_cli-user-change-password.md) # 使用 CloudHSM CLI 列出 AWS CloudHSM 所有使用者 CloudHSM CLI 中的 **user list**命令會列出 AWS CloudHSM 叢集中存在的使用者帳戶。您無須登入 CloudHSM CLI 即可執行此命令。 **注意** 如果您新增或刪除 HSMs，請更新 AWS CloudHSM 用戶端和命令列工具使用的組態檔案。否則，您所進行的變更可能無法在叢集中的所有 HSM 上生效。 ## 使用者類型下列類型的使用者可以執行此命令。 + 所有使用者。您無須登入即可執行此命令。 ## 語法 ``` aws-cloudhsm > help user list List the users in your cluster USAGE: user list Options: --cluster-id Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error -h, --help Print help ``` ## 範例此命令會列出 CloudHSM 叢集中的使用者。 ``` aws-cloudhsm > user list { "error_code": 0, "data": { "users": [ { "username": "admin", "role": "admin", "locked": "false", "mfa": [], "cluster-coverage": "full" }, { "username": "test_user", "role": "admin", "locked": "false", "mfa": [ { "strategy": "token-sign", "status": "enabled" } ], "cluster-coverage": "full" }, { "username": "app_user", "role": "internal(APPLIANCE_USER)", "locked": "false", "mfa": [], "cluster-coverage": "full" } ] } } ``` 輸出包含下列使用者屬性： + **使用者名稱**：顯示使用者定義的使用者易記名稱。使用者名稱一律以小寫顯示。 + **角色**：決定使用者在 HSM 上可執行的操作。 + **已鎖定**：表示此使用者帳戶是否已鎖定。 + **MFA**：表示此使用者帳戶支援的多重要素驗證機制。 + **叢集涵蓋範圍**：表示此使用者帳戶在叢集範圍內的可用性。 ## 相關主題 + key\$1mgmt\$1util 中的 [listUsers](key_mgmt_util-listUsers.md) + [建立使用者](cloudhsm_cli-user-create.md) + [刪除使用者](cloudhsm_cli-user-delete.md) + [變更使用者密碼](cloudhsm_cli-user-change-password.md) # 使用 CloudHSM CLI 複寫使用者使用 CloudHSM CLI 中的 **user replicate**命令，將使用者從來源 AWS CloudHSM 叢集複寫到目的地 AWS CloudHSM 叢集。 ## 使用者類型下列類型的使用者可以執行此命令。 + 管理員 (COs) ## 要求 + 來源和目的地叢集必須是複製。這表示一個是從另一個備份建立的，或者兩者都是從通用備份建立的。如需詳細資訊，請參閱[從備份建立叢集](create-cluster-from-backup.md)。 + 若要執行此命令，您必須在來源和目的地叢集上以管理員身分登入。 + 在單一命令模式中，命令將使用 CLOUDHSM\$1PIN 和 CLOUDHSM\$1ROLE 環境變數在來源叢集上進行驗證。如需詳細資訊，請參閱[單一命令模式](cloudhsm_cli-modes.md#cloudhsm_cli-mode-single-command)。若要提供目的地叢集的登入資料，您需要設定兩個額外的環境變數：DESTINATION\$1CLOUDHSM\$1PIN 和 DESTINATION\$1CLOUDHSM\$1ROLE： ``` $ export DESTINATION_CLOUDHSM_ROLE= ``` ``` $ export DESTINATION_CLOUDHSM_PIN= ``` + 在互動式模式中，使用者將需要明確登入來源和目的地叢集。 ## 語法 ``` aws-cloudhsm > help user replicate Replicate a user from a source to a destination cluster Usage: user replicate --username --role --source-cluster-id --destination-cluster-id Options: --username Username of the user to replicate --role Role the user has in the cluster Possible values: - crypto-user: A CryptoUser has the ability to manage and use keys - admin: An Admin has the ability to manage user accounts --source-cluster-id Source cluster ID --destination-cluster-id Destination cluster ID -h, --help Print help (see a summary with '-h') ``` ## 範例 **Example 範例：複寫使用者** 此命令會將使用者從具有的來源叢集複寫到複製的目的地叢集。以下範例示範在兩個叢集上以管理員身分登入時的輸出。 ``` admin-user@cluster-1234abcdefg > user replicate \ --username example-admin \ --role admin \ --source-cluster-id cluster-1234abcdefg \ --destination-cluster-id cluster-2345bcdefgh { "error_code": 0, "data": { "user": { "username": "example-admin", "role": "admin", "locked": "false", "mfa": [], "quorum": [], "cluster-coverage": "full" }, "message": "Successfully replicated user" } } ``` ## 引數 ****** 指定要在來源叢集中複寫的使用者名稱。必要：是 ****** 指定指派給此使用者的角色。此為必要參數。有效值為 **admin**、**crypto-user**。若要取得使用者的角色，請使用 **user list** 命令。如需 HSM 上使用者類型的詳細資訊，請參閱[了解 HSM 使用者](manage-hsm-users.md)。必要：是 ****** 來源叢集 ID。必要：是 ****** 目的地叢集 ID。必要：是 ## 相關主題 + [使用 CloudHSM CLI 連線至多個叢集](cloudhsm_cli-configs-multi-cluster.md)