Key Management Service:Gunakan kluster instans HSM

Cara kerja

Kluster terdiri dari satu HSM utama dan satu atau beberapa HSM anak. Semua instans harus berada dalam Virtual Private Cloud (VPC) yang sama, tetapi dapat berada di subnet atau zona yang berbeda.

Sinkronisasi kluster menyalin kunci, sertifikat SSL, dan data pengguna dari HSM utama ke semua HSM anak. Metode sinkronisasi bergantung pada tanggal pembelian HSM Anda:

Untuk meningkatkan dari sinkronisasi manual ke otomatis, hubungi kami.

Prasyarat

Sebelum memulai, pastikan Anda telah memiliki:

• Instans HSM. Lihat Beli instans HSM

• Instans Elastic Compute Service (ECS) Windows dalam VPC yang sama dengan HSM. Instans ini menjalankan tool management HSM — bukan server bisnis. Lihat Memulai instans Windows

Langkah 1: Buat dan aktifkan kluster

Jika Anda telah mengonfigurasi informasi kluster saat membeli instans General-purpose Virtual Security Module (GVSM), Cloud Hardware Security Module (CloudHSM) akan membuat kluster secara otomatis. Lewati langkah ini.

1. Aktifkan HSM utama.

   1. Buka halaman VSMs di Konsol CloudHSM. Di bilah navigasi atas, pilih wilayah.

   2. Temukan HSM dan klik Enable di kolom Actions.

   3. Pada kotak dialog Configure HSM Instance, atur parameter berikut dan klik OK. Saat konfigurasi berhasil, status HSM berubah menjadi Enabled.

      Parameter	Deskripsi
      VPC ID	VPC yang akan di-bind ke HSM. Harus sama dengan VPC instans ECS Anda.
      VPC Subnet	Subnet yang akan ditetapkan ke HSM dalam VPC.
      Private IP Address	Alamat IP privat yang akan ditetapkan ke HSM. Harus termasuk dalam subnet yang ditetapkan. Sistem menyisihkan alamat yang berakhiran 253, 254, atau 255 — jangan gunakan alamat tersebut.
      Configure HSM Whitelist	Alamat IP dan Blok CIDR yang diizinkan mengakses HSM ini. Masukkan satu alamat atau blok per baris, maksimal 10 baris. Jika dibiarkan kosong, semua alamat IP dapat mengakses HSM. Jika entri ditambahkan, hanya alamat tersebut yang diizinkan. Catatan: Jika 0.0.0.0/0 dimasukkan, semua IP diizinkan — ini setara dengan daftar putih kosong. Untuk keamanan, biarkan daftar putih kosong daripada memasukkan 0.0.0.0/0. Penting: Daftar putih kluster menggantikan daftar putih HSM. Misalnya, jika daftar putih HSM berisi 10.10.10.10 dan daftar putih kluster berisi 172.16.0.1, hanya 172.16.0.1 yang dapat mengakses HSM.

2. Buat kluster.

   1. Temukan HSM utama dan klik Create Cluster di kolom Actions.

   2. Pada panel Create and Activate Cluster, atur parameter berikut:

      Parameter	Deskripsi
      Cluster Name	Nama unik hingga 24 karakter.
      Configure Whitelist	Alamat IP dan Blok CIDR yang diizinkan mengakses kluster. Masukkan satu alamat atau blok per baris, maksimal 10 baris. Jika dibiarkan kosong, semua alamat IP dapat mengakses kluster. Penting: Daftar putih kluster menggantikan daftar putih setiap HSM. Memasukkan 0.0.0.0/0 mengizinkan semua IP — biarkan daftar putih kosong jika Anda ingin akses tanpa batasan.
      Specify vSwitches	vSwitch untuk kluster. Pilih minimal dua untuk membuat dan mengaktifkan kluster.

3. Inisialisasi HSM utama, lalu klik Next. Kluster hanya dapat diaktifkan ketika status HSM utama adalah Initialized. Pilih salah satu metode berikut:

   Metode	Langkah
   Metode 1: Inisialisasi dengan beberapa klik (hanya GVSM, tidak memerlukan UKEY)	Di panel, klik Initialize the master HSM with a few clicks. Di kotak dialog Tips, klik OK. Inisialisasi memerlukan waktu 1–5 menit. Klik ikon di samping Selected Master HSM: untuk refresh status. Saat status menunjukkan Initialized, jangan inisialisasi ulang HSM.
   Metode 2: Gunakan tool management HSM (hanya Windows)	Di panel, klik Download HSM Management Tool. Ekstrak paket dan ikuti bab "3.2.1 Initial Setup" dalam panduan pengguna yang disertakan.

4. Ikuti petunjuk untuk menambahkan HSM anak ke kluster, lalu klik Complete.

Langkah 2: Konfigurasikan autentikasi TLS mutual (opsional)

Otentikasi TLS mutual (mTLS) menggunakan Otoritas Sertifikat (CA) yang Anda kendalikan untuk membangun kepercayaan kriptografi antara client Anda dan kluster HSM. Sertifikat CA yang Anda hasilkan atau unduh menjadi root of trust kriptografi untuk semua koneksi kluster—setiap client dan server dalam kluster diverifikasi terhadap CA ini. Simpan kunci privat CA di mesin offline yang aman dan batasi akses kepadanya.

Langkah 3: Sinkronkan data kluster

Perilaku sinkronisasi bergantung pada tipe kluster Anda:

• Sinkronisasi Kluster Otomatis — Tidak perlu tindakan. Kunci, sertifikat SSL, dan data pengguna pada HSM utama disinkronkan ke HSM anak secara otomatis.

• Sinkronisasi Kluster Manual — Sinkronkan kluster setelah membuat dan mengaktifkannya, serta setelah setiap perubahan data pada HSM utama. Sinkronisasi tidak diperlukan saat melakukan scale out kluster.

Untuk menyinkronkan kluster manual:

1. Di halaman VSMs, temukan HSM utama dan pastikan tipe klusternya adalah Manual Cluster Synchronization.

   

2. Di kolom Actions, klik Synchronize Cluster. Di kotak dialog, klik Synchronize Cluster lagi.

Langkah 4: Hubungkan dan jalankan operasi kriptografi

Paket perangkat lunak HSM berisi panduan developer dan program uji SDK. Gunakan API seperti yang dijelaskan dalam panduan untuk melakukan operasi kriptografi.

Untuk mengunduh paket perangkat lunak: di halaman VSMs, temukan HSM yang diperlukan dan klik di samping kolom Specifications, lalu ekstrak paket tersebut.

Contoh berikut menggunakan GVSM. Buka Alibaba Cloud GVSM software package > SDK > JAVA > Server HSM interface material > Test demo directory > Test case APITest.java dan jalankan test case tersebut.

Ganti 192.168.XX.XX dengan alamat IP privat yang ditetapkan ke HSM Anda.

package cn.tass.hsm;

import cn.tass.SJJ1507.devices.RasKeyUtils;
import cn.tass.common.kits.Padding;
import cn.tass.exceptions.TAException;
import cn.tass.hsm.GHSMAPI;
import cn.tass.kits.Forms;
import cn.tass.hsm.Host;
import cn.tass.hsm.LogConfig;
import cn.tass.util.encoders.Base64;
import org.junit.Test;

import javax.naming.ConfigurationException;
import java.io.IOException;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;

public class APITest {
    LogConfig logConfig = new LogConfig("error", "./");
    Host host1 = new Host("GHSM", -3, "192.168.XX.XX", 8019, 5);
    List<Host> hosts = new ArrayList<Host>() {{
        add(host1);
    }};

    String config =
            "{"
                    + "[LOGGER];"
                    + "logsw=debug,error;logPath=./;"
                    + "[HOST 1];"
                    + "hsmModel=GHSM;"
                    + "host=192.168.XX.XX;linkNum=-3;"
                    + "port=8019;"
                    + "timeout=5;"
                    + "}";

//    GHSMAPI api = GHSMAPI.getInstance(hosts, logConfig);
    GHSMAPI api = GHSMAPI.getInstance(config);

    /**
     * Kunci simetris yang dienkripsi oleh local master key (LMK)
     */
    byte[] symmetricKey = Forms.hexStringToByteArray("669C1CEDDAFA267CC5D727EA727558B5");
    byte[] verifyValue = Forms.hexStringToByteArray("BD8596C22E5A4D88");

    byte[] symmetricKey1 = Forms.hexStringToByteArray("93EF12C95813586FEC3EFDBC7B37642D");
    byte[] verifyValue1 = Forms.hexStringToByteArray("78306FD68851B8E6");
    /**
     * Ciphertext kunci sesi yang dienkripsi oleh LMK
     */
    byte[] symmetricKeyKEK = Forms.hexStringToByteArray("2E80A42018F186BCCBCF639F644629E8");
    /**
     * Nilai checksum kunci sesi
     */
    byte[] verifyValueMAC = Forms.hexStringToByteArray("734D092CD8C23E38");
    /**
     * Ciphertext yang dilindungi oleh protection key
     */
    byte[] protectionKey = Forms.hexStringToByteArray("2EACE685C5EB2638D1208742F3BE60CD44210B43C894A77C");
    /**
     * Message Authentication Code (MAC) ciphertext yang dilindungi oleh protection key
     */
    byte[] protectionMAC = Forms.hexStringToByteArray("0CB8702D41CBE487");

    /**
     * Kunci publik RSA dalam format DER
     */
    byte[] publicKeyRSA = Forms.hexStringToByteArray("308186028180E14CAAFFCEC6D014457D7CA3E943DBABA1299BDBC17690C8E70F7BFA10EA02450805DA4C6CDC38BFBF1349C95B81A88177BA31C08E366EF965CA41EB36A2DACE611B80A752615A094B8291AAB6F8BB3A5894E72842371F34FA04C10DF42C2FEA95C51B9D49BE8B795E10474954FE01BAAC63532520069465FA62EDB266AADEBB020103");

    public APITest() throws TAException, ConfigurationException {
    }

    /**
     * Pembuatan kunci simetris
     */
    @Test
    public void genSymmKey() throws TAException {
        ArrayList<byte[]> bytes = api.genSymmKey(3);
        System.out.println("Kunci simetris yang dienkripsi oleh LMK:"  + Forms.byteToHexString(bytes.get(0)));
        System.out.println("Nilai checksum kunci simetris:"  + Forms.byteToHexString(bytes.get(1)));
    }

    /**
     * Enkripsi dan dekripsi data menggunakan kunci simetris
     */
    @Test
    public void generalDataEnc() throws TAException {
        byte[] bytes1 = api.generalDataDec(Forms.hexStringToByte("789F01F9CC1BE0FF7429D7EAB215ABA1"),TACryptConst.ENC_MODE_CBC, TACryptConst.KEY_TYPE_RULE, TACryptConst.KEY_ALG_AES128,
                Forms.hexStringToByte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b);
        System.out.println("Hasil dekripsi AES:" + Forms.byteToHexString(bytes1));
    }

    /**
     * Pembuatan dan verifikasi signature RSA
     */
    @Test
    public void RSAencdata() throws TAException {
        byte[] bytes = api.RSAPubEncData(11, 1, TACryptConst.DIGEST_ALG_SHA256, new byte[0], Forms.hexStringToByte("{createTime=1606380202000, createUserId=144, ip=124.204.XX.XX, key=SYJHD202011266020179058, orderNumber=SYJHD202011266020179058, productId=161391, scene=SYJHD}"));
        System.out.println("Hasil enkripsi kunci publik:" + Forms.byteToHexString(bytes));
        byte[] bytes1 = api.RSAPriDecData(11, 1, TACryptConst.DIGEST_ALG_SHA256, new byte[0], bytes);
        System.out.println("Hasil dekripsi kunci privat:" + Forms.byteToHexString(bytes1));
    }

    /**
     * Pasangan kunci SM2 yang dihasilkan dan kunci privat yang dienkripsi oleh LMK
     */
    @Test
    public void generateSM2Key() throws TAException {
        ArrayList<byte[]> bytes = api.genSM2Key();
        System.out.println("Kunci publik dalam format DER:" + Forms.byteToHexString(bytes.get(0)));
        System.out.println("Kunci privat yang dienkripsi oleh LMK:" + Forms.byteToHexString(bytes.get(1)));
    }

    /**
     * Pembuatan angka acak
     */
    @Test
    public void genRandom() throws TAException {
        String s = api.genRandom(15);
        System.out.println(s);
    }

    /**
     * Pemeriksaan status HSM
     */
    @Test
    public void getHSMstatus() throws TAException {
        String hsMstatus = api.getHSMstatus();
        System.out.println(hsMstatus);
    }
}

Operasi tambahan