Key Management Service:KMS ハードウェアキー管理インスタンス用の HSM クラスターを構成する

クラスターの同期モードを確認して、クラスター内の HSM のデータを同期する必要があるかどうかを判断します。

• 自動同期クラスター

  クラスター内の HSM のデータは自動的に同期されます。手動でデータを同期する必要はありません。

• 手動同期クラスター

  初めてクラスターを作成してアクティブ化した後、マスター HSM のデータをクラスター内の従属 HSM に手動で同期する必要があります。クラスターをスケールアウトすると、クラスターデータは新しく追加された HSM インスタンスに自動的に同期されます。

  1. [操作] 列で、[クラスターの同期] をクリックして、マスター HSM のデータを従属 HSM に同期します。 同期中、クラスターのステータスは [同期中] です。

  2. クラスターの同期が完了したら、HSM ダイジェストが一貫しているかどうかを確認します。

     HSM 製品ページでダイジェストを確認します。2 つの HSM のダイジェストが同一である場合、HSM クラスターの構成は完了です。ダイジェストが異なる場合は、データ同期を繰り返します。ダイジェストがまだ異なる場合は、お問い合わせください。

HSM クラスターを使用して、同じリージョンの異なるゾーンにあり、同じアプリケーション専用の HSM インスタンスのグループを関連付けて管理できます。HSM クラスターは、高可用性、ロードバランシング、および暗号化操作の水平スケーリングを提供します。

マスター HSM を使用してクラスターを作成し、その後、従属 HSM を追加します。

1. Cloud Hardware Security Module コンソールの セキュリティ監査 ページに移動します。上部のナビゲーションバーで、リージョンを選択します。

2. マスター HSM インスタンスを見つけ、操作 列で クラスターの作成 をクリックします。

3. Create and Activate Cluster パネルで、① クラスターの作成 ステップを完了し、次へ をクリックします。

   設定項目	説明
   クラスター名	クラスターの名前。名前は一意である必要があり、長さは 24 文字を超えることはできません。
   Configure Whitelist	クラスターへのアクセスが許可されている IP アドレス。 IP アドレスと CIDR ブロックがサポートされています。各行に 1 つの IP アドレスまたは 1 つの CIDR ブロックを指定できます。合計で最大 10 行まで指定できます。 この例では、次の IP アドレスがホワイトリストに追加されていることを確認してください。 クラスター内の HSM インスタンスが配置されている vSwitch の CIDR ブロック。 たとえば、HSM インスタンスが属する VPC サブネット (vSwitch) の CIDR ブロックが 172.16.1.0/24 と 172.16.2.0/24 の場合、2 つの別々の行に 172.16.1.0/24 と 172.16.2.0/24 を入力します。 ECS インスタンスのプライベート IP アドレス。 たとえば、ECS インスタンスのプライベート IP アドレスが 172.16.3.0 の場合、別の行に 172.16.3.0 を入力します。 KMS インスタンスがアタッチされている vSwitch の CIDR ブロック。 KMS インスタンスを購入していない場合は、KMS インスタンスを購入して有効にし、このホワイトリストエントリをクラスターに追加します。 重要 クラスターのホワイトリストは、クラスター内の HSM のホワイトリストよりも優先度が高くなります。たとえば、HSM のホワイトリストに 10.10.10.10 を追加し、HSM を含むクラスターのホワイトリストに 172.16.0.1 を追加した場合、172.16.0.1 からのみ HSM にアクセスできます。 0.0.0.0/0 のホワイトリスト構成はサポートされていません。0.0.0.0/0 を入力すると、すべての IP アドレスからのリクエストが許可されます。 セキュリティ上の理由から、すべての IP アドレスからのリクエストを許可しないことをお勧めします。すべての IP アドレスからのリクエストを許可する必要がある場合は、ホワイトリストを構成しないでください。
   Specify vSwitches	他の HSM インスタンスがアタッチされている vSwitch を構成します。

4. Create and Activate Cluster パネルで、② クラスターのアクティブ化 ステップを完了します。

   1. クラスター証明書をインポートします。

      1. Upload Cluster Certificate セクションで、Cluster CSR Certificate をクリックして証明書署名要求 (CSR) ファイルをダウンロードします。次に、ファイルを ECS インスタンスにアップロードして保存します。たとえば、ファイルを cluster.csr として保存できます。

      2. プロンプトに従って秘密鍵を作成し、秘密鍵のセキュリティトークンを設定します。たとえば、秘密鍵を issuerCA.key として保存できます。

         openssl genrsa -aes256 -out issuerCA.key 2048

      3. 自己署名証明書を作成します。たとえば、証明書を issuerCA.crt として保存できます。

         openssl req -new -x509 -days 3652 -key issuerCA.key -out issuerCA.crt

      4. クラスター CSR に署名します。発行されたクラスター証明書は cluster.crt ファイルに保存されます。

         説明

         このステップでは、cluster.csr、issuerCA.key、および issuerCA.crt ファイルを使用します。

         openssl x509 -req -in cluster.csr -days 3652 -CA issuerCA.crt -CAkey issuerCA.key -set_serial 01 -out cluster.crt

      5. CloudHSM コンソールに戻り、クラスター証明書をインポートして、送信 をクリックします。

         • [PEM 形式で発行者証明書を入力] セクションに、issuerCA.crt ファイルの内容を入力します。

         • [PEM 形式で発行されたクラスター証明書を入力] セクションに、cluster.crt ファイルの内容を入力します。

   2. マスター HSM インスタンスを初期化します。

      ステップ	説明
      ステップ 1: HSM 管理ツールをダウンロードします。	重要 HSM 管理ツールは、Linux オペレーティングシステムにのみインストールできます。 次のいずれかの方法でツールをダウンロードできます: HSM 管理ツールのダウンロード。 次のコマンドを実行して HSM 管理ツールをダウンロードします。ECS インスタンスはインターネットに接続されている必要があります。 wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm' [インスタンスリスト] ページで、ターゲット HSM インスタンスを見つけ、インスタンス仕様列の情報をクリックし、[HSM 管理ツールのダウンロード] をクリックします。 [クラスターのアクティブ化] ページで、[HSM 管理ツールのダウンロード] をクリックします。
      ステップ 2: HSM 管理ツールをインストールします。	次のコマンドを実行して、プログラムと構成ファイルを /opt/hsm フォルダにインストールします。 sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm
      ステップ 3: クライアント構成ファイルを変更します。	HSM 管理ツールのインストールフォルダで、/opt/hsm/etc/hsm_mgmt_tool.cfg ファイルの servers 構成項目を変更します。 name と hostname をマスター HSM のプライベート IP アドレスに設定します。 owner_cert_path を issuerCA.crt のファイルパスに設定します。 hsm_mgmt_tool.cfg ファイルの例 { "servers": [{ "name": "172.16.XX.XX", "hostname": "172.16.XX.XX", "port": 2225, "certificate": "/opt/hsm/etc/client.crt", "pkey": "/opt/hsm/etc/client.key", "CAfile": "", "CApath": "/opt/hsm/etc/certs", "ssl_ciphers": "", "server_ssl": "yes", "enable": "yes", "owner_cert_path": "<issuerCA.crt file path>" }], "scard": { "enable": "no", "port": 2225, "ssl": "no", "ssl_ciphers": "", "certificate": "cert-sc", "pkey": "pkey-sc", } }
      ステップ 4: マスター HSM にログインし、ユーザーリストを表示します。	次のコマンドを実行してマスター HSM にログインします。 /opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg listUsers コマンドを実行してユーザーリストを表示します。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 PRECO admin NO 0 NO 2 AU app_user NO 0 NO
      ステップ 5: PRECO ユーザーを CO ユーザーに変更します。	loginHSM コマンドを実行し、PRECO ユーザーとして HSM にログインします。 server0>loginHSM PRECO admin password loginHSM success changePswd コマンドを実行して PRECO ユーザーのパスワードを変更します。パスワードを変更すると、PRECO ユーザーは CO ユーザーになります。 cloudmgmt>changePswd PRECO admin <NewPassword> *************************CAUTION******************************** これはクリティカルな操作であり、クラスター内のすべてのノードで実行する必要があります。 Cav サーバーは、この操作が実行されなかった、または失敗したノードとこれらの変更を同期しません。 この操作がクラスター内のすべてのノードで実行されることを確認してください。 **************************************************************** 続行しますか (y/n)?y Changing password for admin(PRECO) on 1 nodes listUsers コマンドを実行してユーザーリストを表示し、PRECO ユーザーが CO ユーザーに変更されたかどうかを確認します。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:2 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO
      ステップ 6: 暗号ユーザー (CU ユーザー) の作成	警告 従属 HSM をクラスターに追加する前に、CU ユーザーを作成する必要があります。そうしないと、CU ユーザーは従属 HSM に自動的に同期されません。 セキュリティ上の理由から、KMS ハードウェアキー管理インスタンスは、kmsuser という名前の CU ユーザーとして HSM クラスターにアクセスします。 HSM 管理ツールを使用してマスター HSM にログインし、createUser コマンドを実行して kmsuser という名前の暗号ユーザー (CU) を作成します。 createUser CU kmsuser <enter password> 重要 kmsuser の初期パスワードを覚えておいてください。このパスワードは、KMS ハードウェアキー管理インスタンスを有効にするときに必要です。 listUsers コマンドを実行して、CU ユーザーが作成されたことを確認します。 cloudmgmt>listUsers Users on server 0(172.16.XX.XX): Number of users found:3 User Id User Type User Name MofnPubKey LoginFailureCnt 2FA 1 CO admin NO 0 NO 2 AU app_user NO 0 NO 3 CU kmsuser NO 0 NO quit コマンドを実行して管理ツールを終了します。 cloudmgmt>quit disconnecting from servers, please wait...
      ステップ 7: マスター HSM のステータスを確認する	CloudHSM コンソールに戻ります。Activate Cluster ページで、 アイコンをクリックして HSM のステータスを更新し、次へ をクリックします。

5. ③ HSM の追加 ページで、プロンプトに従って従属 HSM をクラスターに追加し、Complete をクリックします。

   説明

   追加する HSM インスタンスのステータスが初期化済みの場合、クラスターに追加できません。この場合は、お問い合わせください。

   構成が完了すると、クラスターはマスターキーデータを従属 HSM に自動的に同期します。たとえば、マスター HSM 上の kmsuser は従属 HSM に同期されます。クラスター内の 2 つの HSM インスタンスのダイジェスト情報が同じであるかどうかを確認するだけで済みます。ダイジェスト情報が異なる場合は、お問い合わせください。