envoltorio para llaves cloudhsm-aes-gcm

El key wrap cloudhsm-aes-gcm comando empaqueta una clave de carga mediante una clave AES en el HSM y en el mecanismo de empaquetado. CLOUDHSM-AES-GCM El extractable atributo de la clave de carga útil debe estar establecido en. true

Solo el propietario de una clave, es decir, el usuario criptográfico (CU) que creó la clave, puede empaquetarla. Los usuarios que comparten la clave pueden utilizarla en operaciones criptográficas.

Para usar el key wrap cloudhsm-aes-gcm comando, primero debe tener una clave AES en el AWS CloudHSM clúster. Puede generar una clave AES para empaquetarla con el key generate-symmetric aes comando y el wrap atributo establecidos entrue.

Tipo de usuario

Los tipos de usuarios siguientes pueden ejecutar este comando.

• Usuarios de criptografía (CU)

Requisitos

• Para ejecutar este comando, debe iniciar sesión como CU.

Sintaxis

aws-cloudhsm > help key wrap cloudhsm-aes-gcm
Usage: key wrap cloudhsm-aes-gcm [OPTIONS] --payload-filter [<PAYLOAD_FILTER>...] --wrapping-filter [<WRAPPING_FILTER>...] --tag-length-bits <TAG_LENGTH_BITS>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --payload-filter [<PAYLOAD_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a payload key
      --wrapping-filter [<WRAPPING_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a wrapping key
      --path <PATH>
          Path to the binary file where the wrapped key data will be saved
      --aad <AAD>
          Aes GCM Additional Authenticated Data (AAD) value, in hex
      --tag-length-bits <TAG_LENGTH_BITS>
          Aes GCM tag length in bits
  -h, --help
          Print help

Ejemplo

En este ejemplo se muestra cómo utilizar el key wrap cloudhsm-aes-gcm comando mediante una clave AES.

aws-cloudhsm > key wrap cloudhsm-aes-gcm --payload-filter attr.label=payload-key --wrapping-filter attr.label=aes-example --tag-length-bits 64 --aad 0x10
{
  "error_code": 0,
  "data": {
    "payload_key_reference": "0x00000000001c08f1",
    "wrapping_key_reference": "0x00000000001c08ea",
    "wrapped_key_data": "6Rn8nkjEriDYlnP3P8nPkYQ8hplOEJ899zsrF+aTB0i/fIlZ"
  }
}

Argumentos

<CLUSTER_ID>

El ID del clúster en el que se va a ejecutar esta operación.

Obligatorio: si se han configurado varios clústeres.

<PAYLOAD_FILTER>

Referencia clave (por ejemplokey-reference=0xabc) o lista de atributos clave separada por espacios en forma de attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE para seleccionar una clave de carga útil.

Obligatorio: sí

<PATH>

Ruta al archivo binario donde se guardarán los datos clave empaquetados.

Obligatorio: no

<WRAPPING_FILTER>

Referencia clave (por ejemplokey-reference=0xabc) o lista de atributos clave separados por espacios en forma de attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE para seleccionar una clave de ajuste.

Obligatorio: sí

<AAD>

Valor de datos autenticados adicionales (AAD) de AES GCM, en hexadecimal.

Obligatorio: no

<TAG_LENGTH_BITS>

Longitud de la etiqueta AES GCM en bits.

Obligatorio: sí

Temas relacionados de

• envoltorio para llaves

• desempaquetar llaves