Key Management Service:HSM インスタンスクラスターの使用

仕組み

クラスターは 1 台のマスター HSM と 1 台以上の子 HSM で構成されます。すべてのインスタンスは同一の Virtual Private Cloud (VPC) を共有する必要がありますが、サブネットやゾーンは異なっていても構いません。

クラスター同期では、マスター HSM からすべての子 HSM へ、鍵、SSL 証明書、およびユーザーデータがコピーされます。同期方法は HSM の購入日によって異なります：

手動同期から自動同期へアップグレードするには、お問い合わせください。

前提条件

開始する前に、以下の条件を満たしていることを確認してください。

• HSM インスタンス。「HSM インスタンスの購入」をご参照ください。

• HSM と同じ VPC 内の Windows Elastic Compute Service (ECS) インスタンス。このインスタンスは HSM 管理ツールを実行しますが、業務サーバーではありません。詳細については、「Windows インスタンスの使い始め」をご参照ください。

ステップ 1：クラスターの作成および有効化

汎用仮想セキュリティモジュール（GVSM）インスタンスの購入時にクラスター情報を設定した場合、Cloud Hardware Security Module（CloudHSM）が自動的にクラスターを作成します。この手順はスキップ可能です。

1. マスター HSM を有効化します。

   1. CloudHSM コンソールの VSM ページに移動します。上部ナビゲーションバーからリージョンを選択します。

   2. HSM を見つけ、有効化 をクリックします（操作 列）。

   3. HSM インスタンスの構成 ダイアログボックスで、以下のパラメーターを設定し、OK をクリックします。構成が成功すると、HSM のステータスは 有効 に変わります。

      パラメーター	説明
      VPC ID	HSM にバインドする VPC。ECS インスタンスと同じ VPC である必要があります。
      VPC サブネット	VPC 内で HSM に割り当てるサブネット。
      プライベート IP アドレス	HSM に割り当てるプライベート IP アドレス。割り当てられたサブネットに属している必要があります。システムは末尾が 253、254、255 のアドレスを予約していますので、これらのアドレスは使用しないでください。
      HSM ホワイトリストの構成	この HSM へのアクセスを許可する IP アドレスおよび CIDR ブロック。1 行につき 1 アドレスまたは 1 ブロックを入力し、最大 10 行まで入力可能です。空白のままにした場合、すべての IP アドレスからのアクセスが許可されます。エントリーが追加された場合、記載されたアドレスのみが許可されます。注意： 0.0.0.0/0 を入力すると、すべての IP アドレスが許可されます。これはホワイトリストを空白のままにするのと同等です。セキュリティ上の観点から、0.0.0.0/0 を入力する代わりに、ホワイトリストを空白のままにしてください。重要： クラスターホワイトリストは HSM ホワイトリストをオーバーライドします。たとえば、HSM ホワイトリストに 10.10.10.10 が含まれ、クラスターホワイトリストに 172.16.0.1 が含まれている場合、HSM へのアクセスは 172.16.0.1 のみ許可されます。

2. クラスターを作成します。

   1. マスター HSM を見つけ、クラスターの作成 をクリックします（操作 列）。

   2. クラスターの作成および有効化 パネルで、以下のパラメーターを設定します：

      パラメーター	説明
      クラスター名	最大 24 文字のユニークな名前。
      ホワイトリストの構成	クラスターへのアクセスを許可する IP アドレスおよび CIDR ブロック。1 行につき 1 アドレスまたは 1 ブロックを入力し、最大 10 行まで入力可能です。空白のままにした場合、すべての IP アドレスからのアクセスが許可されます。重要： クラスターホワイトリストは各 HSM のホワイトリストをオーバーライドします。0.0.0.0/0 を入力するとすべての IP アドレスが許可されます。無制限のアクセスを許可したい場合は、ホワイトリストを空白のままにしてください。
      vSwitch の指定	クラスター用の vSwitch。クラスターの作成および有効化には、最低 2 つの vSwitch を選択してください。

3. マスター HSM を初期化した後、次へ をクリックします。クラスターは、マスター HSM のステータスが 初期化済み の場合にのみ有効化できます。以下のいずれかの方法を選択してください：

   方法	手順
   方法 1：数回のクリックで初期化（GVSM のみ、UKEY 不要）	パネルで、[数回のクリックでマスター HSM を初期化] をクリックします。[ヒント] ダイアログボックスで、[OK] をクリックします。初期化には 1～5 分かかります。「Selected Master HSM:」の横にある アイコンをクリックして、ステータスをリフレッシュします。ステータスが「初期化済み」と表示されたら、HSM を再初期化しないでください。
   方法 2：HSM 管理ツールの使用（Windows のみ）	パネルで HSM 管理ツールのダウンロード をクリックします。パッケージを解凍し、同封のユーザーマニュアルの「3.2.1 初期設定」の章に従って操作してください。

4. プロンプトに従って子 HSM をクラスターに追加し、完了 をクリックします。

ステップ 2：相互 TLS 認証の構成（任意）

相互 TLS（mTLS）認証では、お客様が管理する認証局（CA）を使用して、クライアントと HSM クラスター間の信頼関係を暗号的に確立します。お客様が生成またはダウンロードした CA 証明書は、すべてのクラスター接続における暗号的信頼のルートになります。クラスター内のすべてのクライアントおよびサーバーは、この CA に対して検証されます。CA の秘密鍵は、安全なオフラインマシンに保存し、アクセスを厳しく制限してください。

ステップ 3：クラスターのデータ同期

同期動作はクラスターのタイプによって異なります：

• 自動クラスタ同期 — 特に操作は必要ありません。マスター HSM 上の鍵、SSL 証明書、およびユーザーデータは、子 HSM に自動的に同期されます。

• 手動クラスタ同期 — クラスターの作成および有効化後、およびマスター HSM 上のデータ変更後にクラスターを同期する必要があります。クラスターのスケールアウト時には同期は不要です。

手動クラスターを同期するには：

1. VSM ページでマスター HSM を見つけ、クラスターのタイプが 手動クラスタ同期 であることを確認します。

   

2. 操作 列で クラスターの同期 をクリックします。ダイアログボックスで、再度 クラスターの同期 をクリックします。

ステップ 4：接続および暗号操作の実行

HSM ソフトウェアパッケージには、開発者ガイドおよび SDK テストプログラムが含まれています。ガイドに記載された API を使用して、暗号操作を実行してください。

ソフトウェアパッケージをダウンロードするには、[VSM] ページで必要な HSM を見つけ、[仕様列] の横にある をクリックし、その後パッケージを解凍します。

以下の例では GVSM を使用します。Alibaba Cloud GVSM ソフトウェアパッケージ > SDK > JAVA > Server HSM インターフェイス資料 > テストデモディレクトリ > テストケース APITest.java に移動し、テストケースを実行します。

192.168.XX.XX を、ご利用の HSM に割り当てられたプライベート IP アドレスに置き換えてください。

package cn.tass.hsm;

import cn.tass.SJJ1507.devices.RasKeyUtils;
import cn.tass.common.kits.Padding;
import cn.tass.exceptions.TAException;
import cn.tass.hsm.GHSMAPI;
import cn.tass.kits.Forms;
import cn.tass.hsm.Host;
import cn.tass.hsm.LogConfig;
import cn.tass.util.encoders.Base64;
import org.junit.Test;

import javax.naming.ConfigurationException;
import java.io.IOException;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;

public class APITest {
    LogConfig logConfig = new LogConfig("error", "./");
    Host host1 = new Host("GHSM", -3, "192.168.XX.XX", 8019, 5);
    List<Host> hosts = new ArrayList<Host>() {{
        add(host1);
    }};

    String config =
            "{"
                    + "[LOGGER];"
                    + "logsw=debug,error;logPath=./;"
                    + "[HOST 1];"
                    + "hsmModel=GHSM;"
                    + "host=192.168.XX.XX;linkNum=-3;"
                    + "port=8019;"
                    + "timeout=5;"
                    + "}";

//    GHSMAPI api = GHSMAPI.getInstance(hosts, logConfig);
    GHSMAPI api = GHSMAPI.getInstance(config);

    /**
     * ローカルマスターキー（LMK）で暗号化された対称キー
     */
    byte[] symmetricKey = Forms.hexStringToByteArray("669C1CEDDAFA267CC5D727EA727558B5");
    byte[] verifyValue = Forms.hexStringToByteArray("BD8596C22E5A4D88");

    byte[] symmetricKey1 = Forms.hexStringToByteArray("93EF12C95813586FEC3EFDBC7B37642D");
    byte[] verifyValue1 = Forms.hexStringToByteArray("78306FD68851B8E6");
    /**
     * LMK で暗号化されたセッションキーの暗号文
     */
    byte[] symmetricKeyKEK = Forms.hexStringToByteArray("2E80A42018F186BCCBCF639F644629E8");
    /**
     * セッションキーのチェックサム値
     */
    byte[] verifyValueMAC = Forms.hexStringToByteArray("734D092CD8C23E38");
    /**
     * 保護キーで保護された暗号文
     */
    byte[] protectionKey = Forms.hexStringToByteArray("2EACE685C5EB2638D1208742F3BE60CD44210B43C894A77C");
    /**
     * 保護キーで保護された暗号文のメッセージ認証コード（MAC）
     */
    byte[] protectionMAC = Forms.hexStringToByteArray("0CB8702D41CBE487");

    /**
     * RSA DER エンコード形式の公開鍵
     */
    byte[] publicKeyRSA = Forms.hexStringToByteArray("308186028180E14CAAFFCEC6D014457D7CA3E943DBABA1299BDBC17690C8E70F7BFA10EA02450805DA4C6CDC38BFBF1349C95B81A88177BA31C08E366EF965CA41EB36A2DACE611B80A752615A094B8291AAB6F8BB3A5894E72842371F34FA04C10DF42C2FEA95C51B9D49BE8B795E10474954FE01BAAC63532520069465FA62EDB266AADEBB020103");

    public APITest() throws TAException, ConfigurationException {
    }

    /**
     * 対称キーの生成
     */
    @Test
    public void genSymmKey() throws TAException {
        ArrayList<byte[]> bytes = api.genSymmKey(3);
        System.out.println("LMK で暗号化された対称キー："  + Forms.byteToHexString(bytes.get(0)));
        System.out.println("対称キーのチェックサム値："  + Forms.byteToHexString(bytes.get(1)));
    }

    /**
     * 対称キーによるデータの暗号化および復号
     */
    @Test
    public void generalDataEnc() throws TAException {
        byte[] bytes1 = api.generalDataDec(Forms.hexStringToByte("789F01F9CC1BE0FF7429D7EAB215ABA1"),TACryptConst.ENC_MODE_CBC, TACryptConst.KEY_TYPE_RULE, TACryptConst.KEY_ALG_AES128,
                Forms.hexStringToByte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b);
        System.out.println("AES 復号結果：" + Forms.byteToHexString(bytes1));
    }

    /**
     * RSA 署名の生成および検証
     */
    @Test
    public void RSAencdata() throws TAException {
        byte[] bytes = api.RSAPubEncData(11, 1, TACryptConst.DIGEST_ALG_SHA256, new byte[0], Forms.hexStringToByte("{createTime=1606380202000, createUserId=144, ip=124.204.XX.XX, key=SYJHD202011266020179058, orderNumber=SYJHD202011266020179058, productId=161391, scene=SYJHD}"));
        System.out.println("公開鍵暗号化結果：" + Forms.byteToHexString(bytes));
        byte[] bytes1 = api.RSAPriDecData(11, 1, TACryptConst.DIGEST_ALG_SHA256, new byte[0], bytes);
        System.out.println("秘密鍵復号結果：" + Forms.byteToHexString(bytes1));
    }

    /**
     * SM2 鍵ペアの生成および LMK による秘密鍵の暗号化
     */
    @Test
    public void generateSM2Key() throws TAException {
        ArrayList<byte[]> bytes = api.genSM2Key();
        System.out.println("DER エンコード形式の公開鍵：" + Forms.byteToHexString(bytes.get(0)));
        System.out.println("LMK で暗号化された秘密鍵：" + Forms.byteToHexString(bytes.get(1)));
    }

    /**
     * 乱数の生成
     */
    @Test
    public void genRandom() throws TAException {
        String s = api.genRandom(15);
        System.out.println(s);
    }

    /**
     * HSM ステータスの確認
     */
    @Test
    public void getHSMstatus() throws TAException {
        String hsMstatus = api.getHSMstatus();
        System.out.println(hsMstatus);
    }
}

その他の操作