Key Management Service:Gunakan kluster GVSM yang divalidasi NIST FIPS

Prasyarat

Sebelum memulai, pastikan Anda telah memiliki:

• HSM yang telah dibeli dan diaktifkan. Lihat Beli dan aktifkan HSM.

• Instance ECS yang menjalankan CentOS 8 atau Alibaba Cloud Linux, berada dalam Virtual Private Cloud (VPC) yang sama dengan HSM. Instance ECS digunakan untuk menginstal tool manajemen HSM — bukan sebagai server bisnis. Lihat Memulai instance Linux.

Langkah 1: Aktifkan HSM sebagai HSM utama

Kluster HSM terdiri dari satu HSM utama dan beberapa HSM non-master. Sebelum membuat kluster, tetapkan satu HSM sebagai master.

1. Buka halaman VSMs di konsol Cloud Hardware Security Module. Di bilah navigasi atas, pilih wilayah.

2. Di halaman VSMs, temukan HSM dan klik Enable pada kolom Actions.

3. Pada kotak dialog Configure HSM instance, atur parameter berikut dan klik OK. Jika konfigurasi berhasil, Status HSM akan berubah menjadi Enabled.

   Parameter	Deskripsi
   VPC ID	VPC yang akan di-bind ke HSM.
   VPC subnet	Subnet yang akan dialokasikan ke HSM dalam VPC.
   Private IP address	Alamat IP privat yang akan dialokasikan ke HSM. Harus berada dalam subnet yang ditentukan. Sistem menyisihkan alamat IP dengan oktet terakhir 253, 254, atau 255 — jangan gunakan alamat tersebut.
   Configure HSM whitelist	Alamat IP atau Blok CIDR yang diizinkan mengakses HSM. Mendukung hingga 10 entri (satu per baris). Jika dibiarkan kosong, semua alamat IP dapat mengakses HSM. Jika daftar putih kluster dikonfigurasi, maka akan menggantikan daftar putih HSM. Entri 0.0.0.0/0 tidak didukung — untuk mengizinkan semua alamat IP, biarkan daftar putih kosong.

Langkah 2: Buat dan aktifkan kluster HSM

Langkah ini menetapkan kepemilikan dan kendali Anda atas kluster melalui rantai kepercayaan berbasis sertifikat. Prosesnya mencakup:

• Membuat kluster dan menentukan konfigurasi jaringan

• Menghasilkan otoritas sertifikat (CA) tanda tangan sendiri dan menggunakannya untuk menandatangani permintaan penandatanganan sertifikat (CSR) kluster

• Menginisialisasi HSM utama dengan tool manajemen HSM

HSM dalam zona yang sama menggunakan subnet VPC yang sama.

{
 "servers": [
 {
 "name" : "172.16.XX.XX",
 "hostname" : "172.16.XX.XX",
 "port" : 2225,
 "certificate": "/opt/hsm/etc/client.crt",
 "pkey": "/opt/hsm/etc/client.key",
 "CAfile": "",
 "CApath": "/opt/hsm/etc/certs",
 "ssl_ciphers": "",
 "server_ssl" : "yes",
 "enable" : "yes",
 "owner_cert_path":"<issuerCA.crt_FILE_PATH>"
 }],
 "scard": {
 "enable": "no",
 "port": 2225,
 "ssl": "no",
 "ssl_ciphers": "",
 "certificate": "cert-sc",
 "pkey": "pkey-sc"
 }
}

Langkah 3: Jalankan klien HSM hsm_proxy

hsm_proxy adalah klien HSM yang berjalan di instance ECS Anda dan mengarahkan permintaan kriptografi ke kluster HSM.

1. Edit /opt/hsm/etc/hsm_proxy.cfg: Contoh konfigurasi:

   • Atur server.hostname ke alamat IP VPC tempat instance saat ini berada.

   • Atur client.e2e_owner_crt_path ke path lengkap issuerCA.crt (sertifikat CA tanda tangan sendiri yang Anda buat di Langkah 2).

   {
   
       "ssl": {
           "certificate": "/opt/hsm/etc/client.crt",
           "pkey": "/opt/hsm/etc/client.key",
           "CApath": "/opt/hsm/etc/certs",
           "server_ssl": "yes",
           "server_ch_ssl_ciphers": "default"
       },
   
       "client": {
           "socket_type" : "UNIXSOCKET",
           "tcp_port" : 1111,
           "zoneid" : 0,
           "workers" : 1,
           "daemon_id" : 1,
           "reconnect_attempts": -1,
           "reconnect_interval": 1,
           "log_level": "INFO",
           "sslreneg": 0,
           "CriticalAlertScript": "",
           "e2e_owner_crt_path" : "<issuerCA.crt file path>",
           "create_object_minimum_nodes" : 1,
           "logfiles_location" : ""
       },
   
       "loadbalance" : {
           "enable" : "yes",
           "prefer_same_zone": "no",
           "success_rate_weight" : 1,
           "relative_idleness_weight" : 1
       },
   
       "dualfactor": {
           "enable" : "no",
           "port" : 2225,
           "certificate" : "certificate.crt",
           "pkey" : "pkey.pem",
           "dualfactor_ssl": "yes",
           "dualfactor_ch_ssl_ciphers": "default"
       },
   
       "server": {
           "hostname": "<instance ip>",
           "port": 2224
       }
   }

2. Jalankan hsm_proxy:

   /opt/hsm/bin/hsm_proxy /opt/hsm/etc/hsm_proxy.cfg

   Output menampilkan path file log:

   logfiles_location is not specified, logs will be available in current directory
   
   Logs will be available in liquidSecurity.1.WKCrty.log file

3. Verifikasi koneksi dengan memeriksa file log:

   tail liquidSecurity.1.WKCrty.log

   Koneksi yang berhasil mencakup baris berikut:

   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request: HSM FIPS STATE 2

   Output lengkap yang diharapkan tampak seperti:

   2023-10-28T13:33:05Z liquidSecurity INF: check_preferred_srv_status_noclock: New preferred server node id:0
   2023-10-28T13:33:05Z liquidSecurity INF: do_e2e_encryption_handshake: Trying to login to server as new server connection is established
   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request:  Got Authorize session response
   2023-10-28T13:33:05Z liquidSecurity INF: get_partition_info: Get pHSM Info using e2e mgmtch
   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request: Authorize session SUCCESS
   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request: Got Partition Info
   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request: GetPartitionInfo success 0 : HSM Return: SUCCESS
   2023-10-28T13:33:05Z liquidSecurity INF: e2e_handle_client_request: HSM FIPS STATE 2
   2023-10-28T13:33:06Z liquidSecurity INF: libevmulti_init: Initializing events
   2023-10-28T13:33:06Z liquidSecurity INF: libevmulti_init: Ready !

Langkah 4: Buat kunci

Lewati langkah ini jika Anda mengonfigurasi kluster untuk instance manajemen kunci perangkat keras KMS. Lihat Konfigurasikan kluster HSM untuk instance manajemen kunci perangkat keras KMS.

1. Jalankan key_mgmt_tool:

   /opt/hsm/bin/key_mgmt_tool

2. Masuk sebagai crypto user (CU):

   Command:  loginHSM -u CU -s crypto_user -p <enter password>
   
           Cfm3LoginHSM returned: 0x00 : HSM Return: SUCCESS
   
           Cluster Status:
           Node id 0 status: 0x00000000 : HSM Return: SUCCESS

3. Hasilkan kunci simetris:

   Command:  genSymKey -l testkey -t 31 -s 32
   
           Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS
   
           Symmetric Key Created.  Key Handle: 6
   
           Cluster Status:
           Node id 0 status: 0x00000000 : HSM Return: SUCCESS

   Catat handle kunci (6 dalam contoh ini) — gunakan untuk mereferensikan kunci dalam operasi selanjutnya.

4. Konfirmasi keberadaan kunci dengan findKey:

   Command:  findKey
   
           Total number of keys present: 1
   
           Number of matching keys from start index 0::0
   
           Handles of matching keys:
           6
   
           Cluster Status:
           Node id 0 status: 0x00000000 : HSM Return: SUCCESS
   
           Cfm3FindKey returned: 0x00 : HSM Return: SUCCESS

5. Keluar dari key_mgmt_tool:

   Command:  exit

Langkah 5: Enkripsi dan dekripsi data

Lewati langkah ini jika Anda mengonfigurasi kluster untuk instance manajemen kunci perangkat keras KMS. Lihat Konfigurasikan kluster HSM untuk instance manajemen kunci perangkat keras KMS.

Untuk menggunakan kluster HSM dalam operasi kriptografi, pilih salah satu antarmuka berikut:

• OpenSSL Dynamic Engine

• Penyedia JCE (Java Cryptography Extension)

• Pustaka PKCS#11

Langkah berikutnya

Untuk mengelola kluster Anda — menambah atau menghapus HSM, mengganti nama kluster, atau memperbarui daftar putih akses — lihat Buat dan aktifkan kluster HSM yang divalidasi NIST FIPS.