AWS CloudHSM でクラスターのセキュリティグループを確認する

クラスターを作成すると、AWS CloudHSM によって、セキュリティグループ (cloudhsm-cluster-clusterID-sg) が作成されます。このセキュリティグループには、ポート 2223〜2225 経由のインバウンド通信とアウトバウンド通信を許可する事前に設定された TCP ルールが含まれます。この SG により、EC2 インスタンスは VPC を使用してクラスター内の HSM と通信できます。

警告

• 事前設定された TCP ルールを削除または変更しないでください。このルールは、クラスターセキュリティグループに追加されています。このルールによって、接続の問題と HSM への不正アクセスを防ぐことができます。

• クラスターのセキュリティグループに追加することで、HSM への不正アクセスを防ぐことができます。セキュリティグループ内のインスタンスにアクセスできるユーザーはいずれも、HSM にアクセスできます。ほとんどのオペレーションでは、ユーザーは HSM にログインする必要があります。ただし、認証せずに HSM をゼロ化することもできます。ゼロ化すると、キーマテリアル、証明書などのデータは破棄されます。ゼロ化した場合、最後にバックアップしてから作成または変更したデータは失われ、復旧することはできません。不正アクセスを防ぐために、デフォルトのセキュリティグループのインスタンスの変更またはアクセスは、信頼されている管理者のみ行うことができることを確認します。

  • hsm2m.medium クラスターには、権限のないユーザーがクラスターに接続することを制限する mTLS 機能が導入されています。許可されていないユーザーは、ゼロ化を試みる前にクラスターに正常に接続するために有効な mTLS 認証情報が必要です。

次のステップでは、Amazon EC2 インスタンスを起動 し、そのインスタンスに クラスターセキュリティグループを接続 して、HSM に接続します。