Key Management Service：Konfigurasikan kluster HSM untuk instans manajemen kunci perangkat keras KMS

Periksa mode sinkronisasi kluster untuk menentukan apakah Anda perlu menyinkronkan data untuk HSM di kluster.

• Kluster sinkronisasi otomatis

  Data HSM di kluster disinkronkan secara otomatis. Anda tidak perlu menyinkronkan data secara manual.

• Kluster sinkronisasi manual

  Setelah Anda membuat dan mengaktifkan kluster untuk pertama kali, Anda harus secara manual menyinkronkan data HSM utama ke HSM bawahan di kluster. Saat Anda menambah kapasitas kluster, data kluster secara otomatis disinkronkan ke instans HSM baru yang ditambahkan.

  1. Di kolom Actions, klik Sync Cluster untuk menyinkronkan data HSM utama ke HSM bawahan. Selama sinkronisasi, status kluster adalah Syncing.

  2. Setelah sinkronisasi kluster selesai, periksa apakah digest HSM konsisten.

     Periksa digest di halaman produk HSM. Jika digest untuk dua HSM identik, konfigurasi kluster HSM selesai. Jika digest berbeda, ulangi sinkronisasi data. Jika digest masih berbeda, hubungi kami.

Anda dapat menggunakan kluster HSM untuk mengaitkan dan mengelola sekelompok instans HSM yang berada di zona berbeda dalam wilayah yang sama dan didedikasikan untuk aplikasi yang sama. Kluster HSM menyediakan ketersediaan tinggi, penyeimbangan beban, dan skalabilitas horizontal operasi kriptografi.

Gunakan HSM utama untuk membuat kluster, lalu tambahkan HSM bawahan.

1. Pergi ke halaman Audit Keamanan dari Konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Temukan instans HSM utama, dan di kolom Actions, klik Create Cluster.

3. Di panel Create and Activate Cluster, selesaikan langkah ①Buat Kluster, lalu klik Next.

   Item konfigurasi	Deskripsi
   Cluster Name	Nama kluster. Nama tersebut harus unik dan tidak boleh melebihi 24 karakter.
   Configure Whitelist	Alamat IP yang diizinkan mengakses kluster. Alamat IP dan blok CIDR didukung. Anda dapat menentukan satu alamat IP atau satu blok CIDR di setiap baris. Anda dapat menentukan hingga 10 baris secara total. Dalam contoh ini, pastikan alamat IP berikut ditambahkan ke daftar putih. Blok CIDR dari vSwitch tempat instans HSM di kluster berada. Sebagai contoh, jika blok CIDR dari subnet VPC (vSwitch) tempat instans HSM berada adalah 172.16.1.0/24 dan 172.16.2.0/24, masukkan 172.16.1.0/24 dan 172.16.2.0/24 di dua baris terpisah. Alamat IP pribadi instans ECS. Sebagai contoh, jika alamat IP pribadi instans ECS adalah 172.16.3.0, masukkan 172.16.3.0 di baris terpisah. Blok CIDR dari vSwitch tempat instans KMS dilampirkan. Jika Anda belum membeli instans KMS, beli dan aktifkan instans KMS, lalu tambahkan entri daftar putih ini untuk kluster. Penting Daftar putih kluster memiliki prioritas lebih tinggi daripada daftar putih HSM di kluster. Sebagai contoh, jika Anda menambahkan 10.10.10.10 ke daftar putih HSM dan menambahkan 172.16.0.1 ke daftar putih kluster yang mencakup HSM tersebut, Anda hanya dapat mengakses HSM dari 172.16.0.1. Konfigurasi daftar putih 0.0.0.0/0 tidak didukung. Jika Anda memasukkan 0.0.0.0/0, permintaan dari semua alamat IP diizinkan. Untuk alasan keamanan, kami sarankan Anda tidak mengizinkan permintaan dari semua alamat IP. Jika Anda perlu mengizinkan permintaan dari semua alamat IP, jangan konfigurasikan daftar putih.
   Specify vSwitches	Konfigurasikan vSwitch tempat instans HSM lain dilampirkan.

4. Di panel Create and Activate Cluster, selesaikan langkah ②Aktifkan Kluster.

   1. Impor sertifikat kluster.

      1. Di bagian Upload Cluster Certificate, klik Cluster CSR Certificate untuk mengunduh file permintaan penandatanganan sertifikat (CSR). Kemudian, unggah file tersebut ke instans ECS dan simpan. Sebagai contoh, Anda dapat menyimpan file sebagai cluster.csr.

      2. Buat kunci privat dan atur token keamanan untuk kunci privat sesuai petunjuk. Sebagai contoh, Anda dapat menyimpan kunci privat sebagai issuerCA.key.

         openssl genrsa -aes256 -out issuerCA.key 2048

      3. Buat sertifikat tanda tangan sendiri. Sebagai contoh, Anda dapat menyimpan sertifikat sebagai issuerCA.crt.

         openssl req -new -x509 -days 3652 -key issuerCA.key -out issuerCA.crt

      4. Tandatangani CSR kluster. Sertifikat kluster yang diterbitkan disimpan di file cluster.crt.

         Catatan

         Langkah ini menggunakan file cluster.csr, issuerCA.key, dan issuerCA.crt.

         openssl x509 -req -in cluster.csr -days 3652 -CA issuerCA.crt -CAkey issuerCA.key -set_serial 01 -out cluster.crt

      5. Kembali ke Konsol CloudHSM, impor sertifikat kluster, dan klik Submit.

         • Di bagian Enter The Issuer Certificate In The PEM Format, masukkan isi file issuerCA.crt.

         • Di bagian Enter The Issued Cluster Certificate In The PEM Format, masukkan isi file cluster.crt.

   2. Inisialisasi instans HSM utama.

      Langkah	Deskripsi
      Langkah 1: Unduh alat manajemen HSM.	Penting Alat manajemen HSM hanya dapat diinstal pada sistem operasi Linux. Anda dapat mengunduh alat tersebut dengan salah satu cara berikut: Unduh alat manajemen HSM. Jalankan perintah berikut untuk mengunduh alat manajemen HSM. Instans ECS harus terhubung ke Internet. wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm' Di halaman Instance List, temukan instans HSM target, klik informasi di kolom spesifikasi instans, lalu klik Download HSM Management Tool. Di halaman Activate Cluster, klik Download HSM Management Tool.
      Langkah 2: Instal alat manajemen HSM.	Jalankan perintah berikut untuk menginstal program dan file konfigurasi ke folder /opt/hsm. sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm
      Langkah 3: Modifikasi file konfigurasi klien.	Di folder instalasi alat manajemen HSM, modifikasi item konfigurasi servers di file /opt/hsm/etc/hsm_mgmt_tool.cfg. Setel name dan hostname ke alamat IP pribadi HSM utama. Setel owner_cert_path ke jalur file issuerCA.crt. Contoh file hsm_mgmt_tool.cfg { "servers": [{ "name": "172.16.XX.XX", "hostname": "172.16.XX.XX", "port": 2225, "certificate": "/opt/hsm/etc/client.crt", "pkey": "/opt/hsm/etc/client.key", "CAfile": "", "CApath": "/opt/hsm/etc/certs", "ssl_ciphers": "", "server_ssl": "yes", "enable": "yes", "owner_cert_path": "<jalur file issuerCA.crt>" }], "scard": { "enable": "no", "port": 2225, "ssl": "no", "ssl_ciphers": "", "certificate": "cert-sc", "pkey": "pkey-sc", } }
      Langkah 4: Masuk ke HSM utama dan lihat daftar pengguna.	Jalankan perintah berikut untuk masuk ke HSM utama. /opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg Jalankan perintah listUsers untuk menampilkan daftar pengguna. cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 PRECO admin NO 0 NO 2 AU app_user NO 0 NO
      Langkah 5: Ubah pengguna PRECO menjadi pengguna CO.	Jalankan perintah loginHSM dan masuk ke HSM sebagai pengguna PRECO. server0>loginHSM PRECO admin password loginHSM success Jalankan perintah changePswd untuk mengubah kata sandi pengguna PRECO. Setelah Anda mengubah kata sandi, pengguna PRECO menjadi pengguna CO. cloudmgmt>changePswd PRECO admin <KataSandiBaru> *************************PERINGATAN******************************** Ini adalah operasi KRITIS, harus dilakukan di semua node di kluster. Cav server TIDAK mensinkronkan perubahan ini dengan node-node di mana operasi ini tidak dieksekusi atau gagal, harap pastikan operasi ini dieksekusi di semua node di kluster. **************************************************************** Apakah Anda ingin melanjutkan(y/n)?y Mengubah kata sandi untuk admin(PRECO) pada 1 node Jalankan perintah listUsers untuk melihat daftar pengguna dan verifikasi apakah pengguna PRECO diubah menjadi pengguna CO. cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO
      Langkah 6: Buat pengguna kripto (CU user)	Peringatan Anda harus membuat pengguna CU sebelum menambahkan HSM bawahan ke kluster. Jika tidak, pengguna CU tidak akan disinkronkan secara otomatis ke HSM bawahan. Untuk tujuan keamanan, instans manajemen kunci perangkat keras KMS mengakses kluster HSM sebagai pengguna CU bernama kmsuser. Gunakan alat manajemen HSM untuk masuk ke HSM utama dan jalankan perintah createUser untuk membuat Pengguna Kripto (CU) bernama kmsuser. createUser CU kmsuser <masukkan kata sandi> Penting Ingat kata sandi awal untuk kmsuser. Kata sandi ini diperlukan saat Anda mengaktifkan instans manajemen kunci perangkat keras KMS. Jalankan perintah listUsers untuk memverifikasi bahwa pengguna CU telah dibuat. cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:3 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO 3 CU kmsuser NO 0 NO Jalankan perintah quit untuk keluar dari alat manajemen. cloudmgmt>quit disconnecting from servers, please wait...
      Langkah 7: Verifikasi status HSM utama	Kembali ke Konsol CloudHSM. Di halaman Activate Cluster, klik ikon untuk menyegarkan status HSM dan kemudian klik Next.

5. Di halaman ③Tambah HSM, tambahkan HSM bawahan ke kluster sesuai petunjuk dan klik Complete.

   Catatan

   Jika instans HSM yang ingin Anda tambahkan memiliki status Initialized, instans tersebut tidak dapat ditambahkan ke kluster. Dalam hal ini, hubungi kami.

   Setelah konfigurasi selesai, kluster secara otomatis menyinkronkan data kunci utama ke HSM bawahan. Sebagai contoh, kmsuser di HSM utama disinkronkan ke HSM bawahan. Anda hanya perlu memeriksa apakah informasi digest dari dua instans HSM di kluster sama. Jika informasi digest berbeda, hubungi kami.