翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
クライアント SDK 5 設定ツールを使用して、クライアント側の構成ファイルを更新します。
クライアント SDK 5 の各コンポーネントには、構成ツールのファイル名にコンポーネントの指定子を含む構成ツールが含まれています。たとえば、クライアント SDK 5 の PKCS #11 ライブラリには、Linux上 configure-pkcs11
またはWindows上 configure-pkcs11.exe
で名付けられた構成ツールが含まれています。
- PKCS #11
-
configure-pkcs11[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default is </opt/cloudhsm/run/cloudhsm-pkcs11.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-pkcs11.log>
[--log-type <file | term>
]
Default is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
[--enable-validate-key-at-init]
This is the default for PKCS #11
- OpenSSL
-
configure-dyn[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <error>
[--log-type <file | term>
]
Default is <term>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for OpenSSL
[--enable-validate-key-at-init]
- JCE
-
configure-jce[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default is </opt/cloudhsm/run/cloudhsm-jce.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-jce.log>
[--log-type <file | term>
]
Default is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for JCE
[--enable-validate-key-at-init]
- CloudHSM CLI
-
configure-cli[ .exe ]
-a <ENI IP address>
[--hsm-ca-cert <customerCA certificate file path>
]
[--cluster-id <cluster ID>
]
[--endpoint <endpoint>
]
[--region <region>
]
[--server-client-cert-file <client certificate file path>
]
[--server-client-key-file <client key file path>
]
[--log-level <error | warn | info | debug | trace>
]
Default is <info>
[--log-rotation <daily | weekly>
]
Default is <daily>
[--log-file <file name with path>
]
Default for Linux is </opt/cloudhsm/run/cloudhsm-cli.log>
Default for Windows is <C:\\Program Files\\Amazon\\CloudHSM\\cloudhsm-cli.log>
[--log-type <file | term>
]
Default setting is <file>
[-h | --help]
[-V | --version]
[--disable-key-availability-check]
[--enable-key-availability-check]
[--disable-validate-key-at-init]
This is the default for CloudHSM CLI
[--enable-validate-key-at-init]
Client SDK 5 構成ツール固有の詳細設定のリストについては、「Advanced configurations for the Client SDK 5 configure tool」を参照してください。
設定を変更した後、変更内容を反映させるためにアプリケーションを再起動する必要があります。
これらの例は、Client SDK 5 の構成ツールの使用方法を示しています。
この例では、Client SDK 5 の HSM データを更新するための-a
パラメータを使用しています。-a
パラメータの場合は、クラスターのいずれかの HSM の IP アドレスが必要です。
- PKCS #11 library
-
クライアント SDK 5 の Linux EC2 インスタンスをブートストラップするには
クライアント SDK 5 の Windows EC2 インスタンスをブートストラップするには
- OpenSSL Dynamic Engine
-
クライアント SDK 5 の Linux EC2 インスタンスをブートストラップするには
- JCE provider
-
クライアント SDK 5 の Linux EC2 インスタンスをブートストラップするには
クライアント SDK 5 の Windows EC2 インスタンスをブートストラップするには
- CloudHSM CLI
-
クライアント SDK 5 の Linux EC2 インスタンスをブートストラップするには
クライアント SDK 5 の Windows EC2 インスタンスをブートストラップするには
–-cluster-id
パラメータは -a <HSM_IP_ADDRESSES>
の代わりに使用できます。–-cluster-id
の使用要件については、「Client SDK 5 設定ツール」を参照してください。
-a
パラメータの詳細については、「パラメータ」をご参照ください。
この例では、cluster-id
パラメータを使用して、DescribeClusters
呼び出しを行うことにより、Client SDK 5 をブートストラップします。
- PKCS #11 library
-
Client SDK 5 の Linux EC2 インスタンスを cluster-id
呼び出しでブートストラップするには
Client SDK 5 用の Windows EC2 インスタンスを cluster-id
でブートストラップするには
- OpenSSL Dynamic Engine
-
Client SDK 5 の Linux EC2 インスタンスを cluster-id
呼び出しでブートストラップするには
- JCE provider
-
Client SDK 5 の Linux EC2 インスタンスを cluster-id
呼び出しでブートストラップするには
Client SDK 5 用の Windows EC2 インスタンスを cluster-id
でブートストラップするには
- CloudHSM CLI
-
Client SDK 5 の Linux EC2 インスタンスを cluster-id
呼び出しでブートストラップするには
Client SDK 5 用の Windows EC2 インスタンスを cluster-id
でブートストラップするには
--region
と --endpoint
のパラメータと cluster-id
のパラメータを組み合わせて、システムが DescribeClusters
の呼び出しを行う方法を指定することができます。例えば、クラスターのリージョンが AWS CLI のデフォルトとして設定されているものと異なる場合、そのリージョンを使用するように --region
パラメータを使用する必要があります。さらに、呼び出しに使用する AWS CloudHSM API エンドポイントを指定することもできます。これは、 のデフォルトの DNS ホスト名を使用しない VPC インターフェイスエンドポイントを使用するなど、さまざまなネットワーク設定で必要になる場合があります AWS CloudHSM。
- PKCS #11 library
-
カスタムエンドポイントとリージョンを使用して Linux EC2 インスタンスをブートストラップするには
-
設定ツールを使用して、カスタムリージョンとエンドポイントを持つクラスター内の HSM の IP アドレスを指定します。
$
sudo /opt/cloudhsm/bin/configure-pkcs11 --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
カスタムエンドポイントとリージョンを使用して Windows EC2 インスタンスをブートストラップするには
-
設定ツールを使用して、カスタムリージョンとエンドポイントを持つクラスター内の HSM の IP アドレスを指定します。
C:\Program Files\Amazon\CloudHSM\configure-pkcs11.exe --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
- OpenSSL Dynamic Engine
-
カスタムエンドポイントとリージョンを使用して Linux EC2 インスタンスをブートストラップするには
- JCE provider
-
カスタムエンドポイントとリージョンを使用して Linux EC2 インスタンスをブートストラップするには
カスタムエンドポイントとリージョンを使用して Windows EC2 インスタンスをブートストラップするには
-
設定ツールを使用して、カスタムリージョンとエンドポイントを持つクラスター内の HSM の IP アドレスを指定します。
"C:\Program Files\Amazon\CloudHSM\configure-jce.exe" --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
- CloudHSM CLI
-
カスタムエンドポイントとリージョンを使用して Linux EC2 インスタンスをブートストラップするには
カスタムエンドポイントとリージョンを使用して Windows EC2 インスタンスをブートストラップするには
-
設定ツールを使用して、カスタムリージョンとエンドポイントを持つクラスター内の HSM の IP アドレスを指定します。
"C:\Program Files\Amazon\CloudHSM\configure-cli.exe" --cluster-id cluster-1234567
--region us-east-1
--endpoint https://cloudhsmv2.us-east-1.amazonaws.com
--cluster-id
、--region
、--endpoint
パラメータの詳細については、パラメータを参照してください。
この例では、 のカスタムキーserver-client-cert-file
と SSL 証明書を指定して、 および --server-client-key-file
パラメータを使用して SSL を再設定する方法を示します。 AWS CloudHSM
- PKCS #11 library
-
Linux のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
構成ツールで ssl-client.crt
、ssl-client.key
を指定します。
$
sudo /opt/cloudhsm/bin/configure-pkcs11 \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
Windows のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
PowerShell インタープリタでは、設定ツールを使用して ssl-client.crt
と を指定しますssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-pkcs11.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- OpenSSL Dynamic Engine
-
Linux のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
構成ツールで ssl-client.crt
、ssl-client.key
を指定します。
$
sudo /opt/cloudhsm/bin/configure-dyn \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
- JCE provider
-
Linux のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
構成ツールで ssl-client.crt
、ssl-client.key
を指定します。
$
sudo /opt/cloudhsm/bin/configure-jce \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
Windows のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
PowerShell インタープリタでは、設定ツールを使用して ssl-client.crt
と を指定しますssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-jce.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
- CloudHSM CLI
-
Linux のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
$
sudo cp ssl-client.crt /opt/cloudhsm/etc
sudo cp ssl-client.key /opt/cloudhsm/etc
-
構成ツールで ssl-client.crt
、ssl-client.key
を指定します。
$
sudo /opt/cloudhsm/bin/configure-cli \
--server-client-cert-file /opt/cloudhsm/etc/ssl-client.crt
\
--server-client-key-file /opt/cloudhsm/etc/ssl-client.key
Windows のクライアント SDK 5 で TLS クライアントサーバーの相互認証にカスタム証明書とキーを使用するには
-
キーと証明書を適切なディレクトリにコピーします。
cp ssl-client.crt C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
cp ssl-client.key C:\ProgramData\Amazon\CloudHSM\ssl-client.key
-
PowerShell インタープリタでは、設定ツールを使用して ssl-client.crt
と を指定しますssl-client.key
。
& "C:\Program Files\Amazon\CloudHSM\bin\configure-cli.exe" `
--server-client-cert-file C:\ProgramData\Amazon\CloudHSM\ssl-client.crt
`
--server-client-key-file C:\ProgramData\Amazon\CloudHSM\ssl-client.key
server-client-cert-file
、および --server-client-key-file
、パラメータの詳細については、パラメータ を参照してください。
この例では --disable-key-availability-check
パラメータを使用して、クライアントキーの耐久性設定を無効にします。単一の HSM でクラスターを実行するには、クライアントキーの耐久性設定を無効にする必要があります。
- PKCS #11 library
-
Linux でクライアント SDK 5 のクライアントキーの耐久性を無効にするには
Windows でクライアント SDK 5 のクライアントキー耐久性を無効にするには
- OpenSSL Dynamic Engine
-
Linux でクライアント SDK 5 のクライアントキーの耐久性を無効にするには
- JCE provider
-
Linux でクライアント SDK 5 のクライアントキーの耐久性を無効にするには
Windows でクライアント SDK 5 のクライアントキー耐久性を無効にするには
- CloudHSM CLI
-
Linux でクライアント SDK 5 のクライアントキーの耐久性を無効にするには
Windows でクライアント SDK 5 のクライアントキー耐久性を無効にするには
--disable-key-availability-check
パラメータの詳細については、「パラメータ」をご参照ください。
Client SDK 5 では、log-file
、log-level
、log-rotation
、および log-type
パラメータを使用して、ログを管理します。
AWS Fargate や AWS Lambda などのサーバーレス環境に SDK を設定するには、 AWS CloudHSM ログタイプを に設定することをお勧めしますterm
。クライアントログは に出力stderr
され、その環境に設定された CloudWatch ロググループにキャプチャされます。
- PKCS #11 library
-
デフォルトのログ記録の場所
-
ファイルの場所を指定しない場合、システムはログを以下のデフォルトの場所に書き込みます。
Linux
/opt/cloudhsm/run/cloudhsm-pkcs11.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-pkcs11.log
ログ記録レベルを設定し、他のログ記録オプションはデフォルトのままにしておくには
- OpenSSL Dynamic Engine
-
ログ記録レベルを設定し、他のログ記録オプションはデフォルトのままにしておくには
- JCE provider
-
デフォルトのログ記録の場所
-
ファイルの場所を指定しない場合、システムはログを以下のデフォルトの場所に書き込みます。
Linux
/opt/cloudhsm/run/cloudhsm-jce.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-jce.log
ログ記録レベルを設定し、他のログ記録オプションはデフォルトのままにしておくには
- CloudHSM CLI
-
デフォルトのログ記録の場所
-
ファイルの場所を指定しない場合、システムはログを以下のデフォルトの場所に書き込みます。
Linux
/opt/cloudhsm/run/cloudhsm-cli.log
Windows
C:\Program Files\Amazon\CloudHSM\cloudhsm-cli.log
ログ記録レベルを設定し、他のログ記録オプションはデフォルトのままにしておくには
log-file
、log-level
、log-rotation
、log-type
のパラメータの詳細については、「パラメータ」を参照してください。
この例では --hsm-ca-cert
パラメータを使用して、クライアント SDK 5 の発行証明書の場所を更新します。
- PKCS #11 library
-
Linux クライアント SDK 5 の発行証明書を配置します。
Windows クライアント SDK 5 の発行証明書を配置します。
- OpenSSL Dynamic Engine
-
Linux クライアント SDK 5 の発行証明書を配置する
- JCE provider
-
Linux クライアント SDK 5 の発行証明書を配置する
Windows クライアント SDK 5 の発行証明書を配置します。
- CloudHSM CLI
-
Linux クライアント SDK 5 の発行証明書を配置する
Windows クライアント SDK 5 の発行証明書を配置します。
--hsm-ca-cert
パラメータの詳細については、「パラメータ」をご参照ください。
- -a
<ENI IP address>
-
指定した IP アドレスをクライアント SDK 5 設定ファイルに追加します。クラスターから HSM の ENI IP アドレスを入力します。このオプションの使用方法の詳細については、「クライアント SDK 5でブートストラップ」 を参照してください。
必須:はい
- --hsm-ca-cert
<customerCA 証明書ファイルパス>
-
EC2クライアントインスタンスをクラスターに接続するために使用する認証局(CA)証明書を格納するディレクトリへのパス。このファイルは、クラスターを初期化するときに作成します。デフォルトでは、システムはこのファイルを次の場所で検索します。
Linux
/opt/cloudhsm/etc/customerCA.crt
Windows
C:\ProgramData\Amazon\CloudHSM\customerCA.crt
クラスターの初期化または証明書の配置の詳細については、「各 EC2 インスタンス上に発行証明書を配置する」 および 「クラスターの初期化」 を参照してください。
必須:いいえ
- --cluster-id
<cluster ID>
-
DescribeClusters
を呼び出して、クラスターIDに関連付けられたクラスターのすべての HSM Elastic Network Interface(ENI)IPアドレスを検索します。システムは ENI IP アドレスを設定 AWS CloudHSM ファイルに追加します。
パブリックインターネットにアクセスできない VPC 内の EC2 インスタンスから --cluster-id
パラメータを使用する場合は、インターフェイス VPC エンドポイントを作成して に接続する必要があります AWS CloudHSM。VPCエンドポイントの詳細については、AWS CloudHSM および VPC エンドポイント を参照してください。
必須:いいえ
- --endpoint
<endpoint>
-
DescribeClusters
呼び出しに使用する AWS CloudHSM API エンドポイントを指定します。このオプションは --cluster-id
と組み合わせて設定する必要があります。
必須:いいえ
- --region
<region>
-
クラスターのリージョンを指定します。このオプションは --cluster-id
と組み合わせて設定する必要があります。
この --region
パラメータを指定しない場合、システムは AWS_DEFAULT_REGION
または AWS_REGION
の環境変数の読み取りを試みてリージョンを選択します。これらの変数が設定されていない場合、環境変数で別のファイルを指定しない限り、AWS Config (通常は ~/.aws/config
) のプロファイルに関連付けられたリージョンをチェックしますAWS_CONFIG_FILE
。いずれも設定されていない場合は、us-east-1
デフォルトでリージョンが設定されます。
必須:いいえ
- --server-client-cert-file
<クライアント証明書ファイルパス>
-
TLS クライアント・サーバー相互認証に使用するクライアント証明書へのパス。
クライアント SDK 5 に含まれるデフォルトのキーと SSL/TLS 証明書を使用しない場合のみ、このオプションを使用します。このオプションは --server-client-key-file
と組み合わせて設定する必要があります。
必須:いいえ
- --server-client-key-file
<クライアントキーファイルパス>
-
TLS クライアントとサーバーの相互認証に使用されるクライアントキーへのパス。
クライアント SDK 5 に含まれるデフォルトのキーと SSL/TLS 証明書を使用しない場合のみ、このオプションを使用します。このオプションは --server-client-cert-file
と組み合わせて設定する必要があります。
必須:いいえ
- --log-level
<error | warn | info | debug | trace>
-
システムがログファイルに書き込むべき最小のログレベルを指定します。各レベルは前のレベルを含み、最小レベルはエラー、最大レベルはトレースとなります。つまり、エラーを指定すると、システムはログにエラーのみを書き込みます。トレースを指定すると、システムはエラー、警告、情報 (info)、およびデバッグメッセージをログに書き込みます。詳細については、「クライアント SDK 5 のログの記録」を参照してください。
必須:いいえ
- --log-rotation
<daily | weekly>
-
システムがログをローテートする頻度を指定します。詳細については、「クライアント SDK 5 のログの記録」を参照してください。
必須:いいえ
- --log-file
<file name with path>
-
システムがログファイルを書き込む場所を指定します。詳細については、「クライアント SDK 5 のログの記録」を参照してください。
必須:いいえ
- --log-type
<term | file>
-
システムがログをファイルまたはターミナルのどちらに書き込むかを指定します。詳細については、「クライアント SDK 5 のログの記録」を参照してください。
必須:いいえ
- -h | --help
-
ヘルプを表示します。
必須:いいえ
- -v | --version
-
バージョンを表示します。
必須:いいえ
- --disable-key-availability-check
-
キーの可用性クォーラムを無効にするためのフラグ。このフラグを使用して、 AWS CloudHSM がキー可用性クォーラムを無効にし、クラスター内の 1 つの HSM にのみ存在するキーを使用できることを示します。このフラグを使用してキーの可用性クォーラムを設定する方法については、「クライアントキーの耐久性設定の管理」を参照してください。
必須:いいえ
- --enable-key-availability-check
-
キーの可用性クォーラムを有効にするためのフラグ。このフラグを使用して、 AWS CloudHSM がキー可用性クォーラムを使用し、それらのキーがクラスター内の 2 つの HSMs に存在するまでキーを使用できないことを示します。このフラグを使用してキーの可用性クォーラムを設定する方法については、「クライアントキーの耐久性設定の管理」を参照してください。
デフォルトでは有効になっています。
必須:いいえ
- -disable-validate-key-at--init
-
このフラグを指定すると、その後の呼び出しでキーのパーミッションを確認するための初期化呼び出しをスキップできるため、パフォーマンスが向上します。注意して使用してください。
背景: PKCS #11 ライブラリの一部のメカニズムでは、初期化コールで後続のコールでキーを使用できるかどうかを検証するマルチパートオペレーションをサポートしています。これには HSM への検証呼び出しが必要で、オペレーション全体にレイテンシーが追加されます。このオプションを使用すると、後続の呼び出しを無効にし、パフォーマンスを向上させる可能性があります。
必須:いいえ
- -enable-validate-key-at--init
-
初期化呼び出しを使用して、後続の呼び出しでキーに対する許可を検証するように指定します。これがデフォルトのオプションです。enable-validate-key-at-init
を使用して、これらの初期化呼び出しを再開するには disable-validate-key-at-init
を一時停止します。
必須:いいえ