AWS CloudHSM KeyStore Java-Klasse verwenden

Die AWS CloudHSM KeyStore Klasse stellt einen speziellen PKCS12-Schlüsselspeicher bereit. Dieser Schlüsselspeicher kann Zertifikate zusammen mit Ihren Schlüsseldaten speichern und sie mit den in AWS CloudHSM gespeicherten Schlüsseldaten korrelieren. Die AWS CloudHSM KeyStore Klasse implementiert das KeyStore Service Provider Interface (SPI) der Java Cryptography Extension (JCE). Weitere Informationen zur Verwendung KeyStore finden Sie unter Class. KeyStore

Anmerkung

Da es sich bei Zertifikaten um öffentliche Informationen handelt und um die Speicherkapazität für kryptografische Schlüssel zu maximieren, AWS CloudHSM wird das Speichern von Zertifikaten auf HSMs nicht unterstützt.

Auswählen des passenden Schlüsselspeichers

Der Anbieter AWS CloudHSM Java Cryptographic Extension (JCE) bietet ein spezielles AWS CloudHSM an. KeyStore Die AWS CloudHSM KeyStore Klasse unterstützt das Auslagern wichtiger Operationen in das HSM, die lokale Speicherung von Zertifikaten und zertifikatsbasierte Operationen.

Laden Sie das spezielle CloudHSM KeyStore wie folgt:

KeyStore ks = KeyStore.getInstance("CloudHSM")

Initialisieren AWS CloudHSM KeyStore

Melden Sie sich auf AWS CloudHSM KeyStore die gleiche Weise an, wie Sie sich beim JCE-Anbieter anmelden. Sie können entweder Umgebungsvariablen oder die Systemeigenschaftendatei verwenden, und Sie sollten sich anmelden, bevor Sie CloudHSM KeyStore verwenden. Ein Beispiel für die Anmeldung bei einem HSM mit dem JCE-Anbieter finden Sie unter Anmeldung an HSM.

Falls gewünscht, können Sie ein Passwort angeben, um die lokale PKCS12-Datei zu verschlüsseln, die Schlüsselspeicherdaten enthält. Wenn Sie den AWS CloudHSM Keystore erstellen, legen Sie das Passwort fest und geben es an, wenn Sie die Methoden load, set und get verwenden.

Instanziieren Sie ein neues CloudHSM-Objekt KeyStore wie folgt:

ks.load(null, null);

Schreiben Sie Schlüsselspeicherdaten mit der store-Methode in eine Datei. Von da an können Sie den vorhandenen Schlüsselspeicher mit der load-Methode mit der Quelldatei und dem Passwort wie folgt laden:

ks.load(inputStream, password);

Verwenden AWS CloudHSM KeyStore

AWS CloudHSM KeyStore entspricht der KeyStoreJCE-Klassenspezifikation und bietet die folgenden Funktionen.

• load

  Lädt den Schlüsselspeicher aus dem angegebenen Eingabe-Stream. Wenn beim Speichern des Schlüsselspeichers ein Passwort festgelegt wurde, muss dasselbe Passwort angegeben werden, damit das Laden erfolgreich ist. Setzen Sie beide Parameter auf null, um einen neuen leeren Schlüsselspeicher zu initialisieren.

  KeyStore ks = KeyStore.getInstance("CloudHSM");
  ks.load(inputStream, password);

• aliases

  Gibt eine Aufzählung der Aliasnamen aller Einträge in der angegebenen Schlüsselspeicherinstanz zurück. Die Ergebnisse umfassen Objekte, die lokal in der PKCS12-Datei gespeichert sind, sowie Objekte, die sich auf dem HSM befinden.

  Beispiel-Code:

  KeyStore ks = KeyStore.getInstance("CloudHSM");
  for(Enumeration<String> entry = ks.aliases(); entry.hasMoreElements();) {    
      String label = entry.nextElement();    
      System.out.println(label);
  }

• containsalias

  Gibt „true“ zurück, wenn der Schlüsselspeicher Zugriff auf mindestens ein Objekt mit dem angegebenen Alias hat. Der Schlüsselspeicher prüft lokal in der PKCS12-Datei gespeicherte Objekte und Objekte auf dem HSM.

• deleteEntry

  Löscht einen Zertifikateintrag aus der lokalen PKCS12-Datei. Das Löschen von Schlüsseldaten, die in einem HSM gespeichert sind, wird mit dem nicht unterstützt. AWS CloudHSM KeyStore Sie können Schlüssel mit der destroy-Methode der Destroyable-Schnittstelle löschen.

  ((Destroyable) key).destroy();

• getCertificate

  Gibt das Zertifikat zurück, das einem Alias zugeordnet ist, falls verfügbar. Wenn der Alias nicht existiert oder auf ein Objekt verweist, das kein Zertifikat ist, gibt die Funktion NULL zurück.

  KeyStore ks = KeyStore.getInstance("CloudHSM");
  Certificate cert = ks.getCertificate(alias);

• getCertificateAlias

  Gibt den Namen (Alias) des ersten Schlüsselspeichereintrags zurück, dessen Daten mit dem angegebenen Zertifikat übereinstimmen.

  KeyStore ks = KeyStore.getInstance("CloudHSM");
  String alias = ks.getCertificateAlias(cert);

• getCertificateChain

  Gibt die Zertifikatkette zurück, die dem angegebenen Alias zugeordnet ist. Wenn der Alias nicht existiert oder auf ein Objekt verweist, das kein Zertifikat ist, gibt die Funktion NULL zurück.

• getCreationDate

  Gibt das Erstellungsdatum des durch den angegebenen Alias identifizierten Eintrags zurück. Wenn kein Erstellungsdatum verfügbar ist, gibt die Funktion das Datum zurück, an dem das Zertifikat gültig wurde.

• getKey

  GetKey wird an das HSM übergeben und gibt ein Schlüsselobjekt zurück, das dem angegebenen Label entspricht. Da es das HSM getKey direkt abfragt, kann es für jeden Schlüssel auf dem HSM verwendet werden, unabhängig davon, ob er von der generiert wurde. KeyStore

  Key key = ks.getKey(keyLabel, null);

• isCertificateEntry

  Überprüft, ob der Eintrag mit dem angegebenen Alias einen Zertifikateintrag darstellt.

• isKeyEntry

  Überprüft, ob der Eintrag mit dem angegebenen Alias einen Schlüsseleintrag darstellt. Die Aktion durchsucht sowohl die PKCS12-Datei, als auch das HSM nach dem Alias.

• setCertificateEntry

  Weist dem angegebenen Alias das angegebene Zertifikat zu. Wenn der angegebene Alias bereits verwendet wird, um einen Schlüssel oder ein Zertifikat zu identifizieren, wird ein KeyStoreException ausgelöst. Sie können JCE-Code verwenden, um das Schlüsselobjekt abzurufen, und dann die KeyStore SetKeyEntry Methode verwenden, um das Zertifikat dem Schlüssel zuzuordnen.

• setKeyEntry mit byte[]-Schlüssel

  Diese API wird derzeit vom Client-SDK 5 nicht unterstützt.

• setKeyEntry mit Key-Objekt

  Weist den angegebenen Schlüssel dem angegebenen Alias zu und speichert ihn im HSM. Wenn der Schlüssel noch nicht im HSM vorhanden ist, wird er als extrahierbarer Sitzungsschlüssel in das HSM importiert.

  Wenn das Key-Objekt vom Typ PrivateKey ist, muss es von einer entsprechenden Zertifikatkette begleitet werden.

  Wenn der Alias bereits vorhanden ist, wird ein SetKeyEntry- Aufruf ausgelöst, und KeyStoreException verhindert, dass der Schlüssel überschrieben wird. Wenn der Schlüssel überschrieben werden muss, verwenden Sie hierfür KMU oder JCE.

• engineSize

  Gibt die Anzahl der Einträge im Schlüsselspeicher zurück.

• store

  Speichert den Schlüsselspeicher im angegebenen Ausgabe-Stream als PKCS12-Datei und sichert ihn mit dem angegebenen Passwort. Darüber hinaus bleiben alle geladenen Schlüssel (die über setKey-Aufrufe gesetzt werden) bestehen.