Afficher un magasin de clés AWS CloudHSM

Vous pouvez consulter les AWS CloudHSM principaux magasins de chaque compte et région à l'aide de la AWS KMS console ou de l'DescribeCustomKeyStoresopération.

Voir aussi :

• Afficher un magasin de clés externe

• Afficher les clés KMS dans un magasin de clés AWS CloudHSM

• Journalisation des appels d' AWS KMS API avec AWS CloudTrail

Afficher un magasin de clés AWS CloudHSM (console)

Lorsque vous consultez les magasins de clés AWS CloudHSM dans la AWS Management Console, vous pouvez voir les éléments suivants :

• Nom et ID du magasin de clés personnalisé

• ID du cluster AWS CloudHSM associé.

• Nombre de modules HSM dans le cluster

• État actuel de la connexion

Un état de connexion (Status [État]) dont la valeur est Disconnected (Déconnecté) indique que le magasin de clés personnalisé est nouveau et n'a jamais été connecté, ou qu'il a été intentionnellement déconnecté de son cluster AWS CloudHSM. Toutefois, si vos tentatives d'utiliser une clé KMS dans un magasin de clés personnalisé connecté échouent, cela peut signifier la présence d'un problème avec le magasin de clés personnalisé ou son cluster AWS CloudHSM. Pour obtenir de l'aide, veuillez consulter Comment corriger les clés KMS défaillantes.

Pour afficher les magasins de clés AWS CloudHSM d'un compte et d'une région donnés, utilisez la procédure suivante.

1. Connectez-vous à AWS Management Console et ouvrez la console AWS Key Management Service (AWS KMS) à l'adresse https://console.aws.amazon.com/kms.

2. Pour changer le paramètre Région AWS, utilisez le sélecteur de région dans l'angle supérieur droit de la page.

3. Dans le panneau de navigation, sélectionnez Custom key stores (Magasins de clés personnalisés), AWS CloudHSM key stores (Magasins de clés).

Pour personnaliser l'affichage, cliquez sur l'icône d'engrenage qui apparaît sous le bouton Créer un magasin de clés.

Afficher un magasin de clés AWS CloudHSM (API)

Pour consulter vos AWS CloudHSM principaux magasins, utilisez l'DescribeCustomKeyStoresopération. Par défaut, cette opération renvoie tous les magasins de clés personnalisés de vos compte et région. Toutefois, vous pouvez utiliser le paramètre CustomKeyStoreName ou CustomKeyStoreId (mais pas les deux) pour limiter la sortie à un magasin de clés personnalisé en particulier. Pour les magasins de clés AWS CloudHSM, la sortie comprend l'ID et le nom du magasin de clés personnalisé, le type de magasin de clés personnalisé, l'ID du cluster AWS CloudHSM associé et l'état de la connexion. Si l'état de la connexion indique une erreur, la sortie inclut également un code d'erreur qui décrit la raison de l'erreur.

Les exemples de cette section utilisent la AWS Command Line Interface (AWS CLI), mais vous pouvez utiliser n'importe quel langage de programmation pris en charge.

Par exemple, la commande suivante renvoie tous les magasins de clés personnalisées du compte et de la région. Vous pouvez utiliser les paramètres Marker et Limit pour parcourir les magasins de clés personnalisés de la sortie.

$ aws kms describe-custom-key-stores

L'exemple de commande suivant utilise le paramètre CustomKeyStoreName pour obtenir uniquement le magasin de clés personnalisé avec le nom convivial ExampleCloudHSMKeyStore. Vous pouvez utiliser le paramètre CustomKeyStoreName ou le paramètre CustomKeyStoreId (mais pas les deux) dans chaque commande.

L'exemple de sortie suivant représente un magasin de clés AWS CloudHSM qui est connecté à son cluster AWS CloudHSM.

Note

Le champ CustomKeyStoreType a été ajouté à la réponse DescribeCustomKeyStores pour distinguer les magasins de clés AWS CloudHSM des magasins de clés externes.

$ aws kms describe-custom-key-stores --custom-key-store-name ExampleCloudHSMKeyStore
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionState": "CONNECTED",
         "CreationDate": "1.499288695918E9",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}

Si ConnectionState a la valeur Disconnected, cela indique que le magasin de clés personnalisé n'a jamais été connecté ou qu'il a été intentionnellement déconnecté de son cluster AWS CloudHSM. Toutefois, si vos tentatives d'utiliser une clé KMS dans un magasin de clés AWS CloudHSM connecté échouent, cela peut signifier la présence d'un problème avec le magasin de clés AWS CloudHSM ou son cluster AWS CloudHSM. Pour obtenir de l'aide, veuillez consulter Comment corriger les clés KMS défaillantes.

Si ConnectionState a la valeur FAILED, la réponse DescribeCustomKeyStores inclut un élément ConnectionErrorCode qui explique la raison de l'erreur.

Par exemple, dans la sortie suivante, la valeur INVALID_CREDENTIALS indique que la connexion du magasin de clés personnalisé a échoué, car le mot de passe kmsuser n'est pas valide. Pour obtenir de l'aide sur ce sujet et sur d'autres échecs de connexion, consultez Dépannage d'un magasin de clés personnalisé.

$ aws kms describe-custom-key-stores --custom-key-store-id cks-1234567890abcdef0
{
   "CustomKeyStores": [ 
      { 
         "CloudHsmClusterId": "cluster-1a23b4cdefg",
         "ConnectionErrorCode": "INVALID_CREDENTIALS",
         "ConnectionState": "FAILED",
         "CustomKeyStoreId": "cks-1234567890abcdef0",
         "CustomKeyStoreName": "ExampleCloudHSMKeyStore",
         "CustomKeyStoreType": "AWS_CLOUDHSM",
         "CreationDate": "1.499288695918E9",
         "TrustAnchorCertificate": "<certificate appears here>"
      }
   ]
}