PKCS #11 を使用した複数のスロットへの接続 - AWS CloudHSM
マルチスロットの前提条件PKCS #11 ライブラリをマルチスロット機能用に設定pkcs11 の設定とクラスターの追加configure-pkcs11 remove-cluster

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

PKCS #11 を使用した複数のスロットへの接続

Client SDK 5 PKCS #11 ライブラリ内の 1 つのスロットは、 AWS CloudHSM内のクラスターへの 1 つの接続を表します。Client SDK 5 では、1 つの PKCS #11 アプリケーションから複数のスロットでユーザーを複数の CloudHSM クラスターに接続できるように PKCS11 ライブラリを設定できます。

このトピックで説明されている手順に従って、アプリケーションがマルチスロット機能を使用して複数のクラスターに接続するようにします。

マルチスロットの前提条件

  • 接続先の 2 つ以上の AWS CloudHSM クラスターとそのクラスター証明書。

  • セキュリティグループが上記のすべてのクラスターに接続するように正しく設定された EC2 インスタンス。クラスターとクライアントインスタンスのセットアップ方法の詳細については、「 の開始方法 AWS CloudHSM」を参照してください。

  • マルチスロット機能を設定するには、PKCS #11 ライブラリを事前にダウンロードしてインストールしておく必要があります。これをまだ確認していない場合は、「Client SDK 5 用の PKCS #11 ライブラリをインストールする」の手順を参照してください。

PKCS #11 ライブラリをマルチスロット機能用に設定

PKCS #11 ライブラリをマルチスロット機能用に設定するには、次の手順に従います。

  1. マルチスロット機能を使用して接続するクラスターを特定します。

  2. pkcs11 の設定とクラスターの追加 の手順に従って、これらのクラスターを PKCS #11 設定に追加します。

  3. 次回 PKCS #11 アプリケーションを実行するときには、マルチスロット機能が使用できるようになります。

pkcs11 の設定とクラスターの追加

PKCS #11 を使用して複数のスロットに接続する場合は、configure-pkcs11 add-cluster コマンドを使用してクラスターを設定に追加します。

構文

configure-pkcs11 add-cluster [OPTIONS]
        --cluster-id <CLUSTER ID> 
        [--region <REGION>]
        [--endpoint <ENDPOINT>]
        [--hsm-ca-cert <HSM CA CERTIFICATE FILE>]
        [--server-client-cert-file <CLIENT CERTIFICATE FILE>]
        [--server-client-key-file <CLIENT KEY FILE>]
        [-h, --help]

例

configure-pkcs11 add-cluster とともに cluster-id パラメータを使用して、クラスター (cluster-1234567 の ID) を設定に追加します。

Linux
$ sudo /opt/cloudhsm/bin/configure-pkcs11 add-cluster --cluster-id cluster-1234567
Windows
C:\Program Files\Amazon\CloudHSM\> .\configure-pkcs11.exe add-cluster --cluster-id cluster-1234567
ヒント

configure-pkcs11 add-cluster を cluster-id パラメータと一緒に使用してもクラスターが追加されない場合は、以下の例を参照して、追加するクラスターを識別するための --region と --endpoint パラメータも必要な、より長いバージョンのこのコマンドを参照してください。例えば、クラスターのリージョンが AWS CLI のデフォルトとして設定されているものと異なる場合、適切なリージョンを使用するように --region パラメータを使用する必要があります。さらに、呼び出しに使用する AWS CloudHSM API エンドポイントを指定することもできます。これは、 のデフォルトの DNS ホスト名を使用しない VPC インターフェイスエンドポイントを使用するなど、さまざまなネットワーク設定で必要になる場合があります AWS CloudHSM。

configure-pkcs11 add-cluster とともに cluster-id、endpoint、region のパラメータを使用して、クラスター (cluster-1234567 の ID) を設定に追加します。

Linux

        $ sudo /opt/cloudhsm/bin/configure-pkcs11 add-cluster --cluster-id cluster-1234567 --region us-east-1 --endpoint https://cloudhsmv2.us-east-1.amazonaws.com
Windows

        C:\Program Files\Amazon\CloudHSM\> .\configure-pkcs11.exe add-cluster --cluster-id cluster-1234567--region us-east-1 --endpoint https://cloudhsmv2.us-east-1.amazonaws.com

--cluster-id、--region、--endpoint パラメータの詳細については、パラメータを参照してください。

パラメータ

--cluster-id <Cluster ID>

DescribeClusters を呼び出して、クラスターIDに関連付けられたクラスターのすべての HSM Elastic Network Interface（ENI）IPアドレスを検索します。システムは ENI IP アドレスを設定 AWS CloudHSM ファイルに追加します。

注記

パブリックインターネットにアクセスできない VPC 内の EC2 インスタンスから --cluster-idパラメータを使用する場合は、インターフェイス VPC エンドポイントを作成して に接続する必要があります AWS CloudHSM。VPC エンドポイントの詳細については、「AWS CloudHSM および VPC エンドポイント」を参照してください。

必須：はい

--endpoint <Endpoint>

DescribeClusters 呼び出しに使用する AWS CloudHSM API エンドポイントを指定します。このオプションは --cluster-id と組み合わせて設定する必要があります。

必須：いいえ

--hsm-ca-cert <HsmCA 証明書ファイルパス＞

HSM CA 証明書へのファイルパスを指定します。

必須：いいえ

--region <Region>

クラスターのリージョンを指定します。このオプションは --cluster-id と組み合わせて設定する必要があります。

この --region パラメータを指定しない場合、システムは AWS_DEFAULT_REGION または AWS_REGION の環境変数の読み取りを試みてリージョンを選択します。これらの変数が設定されていない場合、環境変数で別のファイルを指定しない限り、AWS Config (通常は ~/.aws/config) のプロファイルに関連付けられたリージョンをチェックしますAWS_CONFIG_FILE。いずれも設定されていない場合は、us-east-1 デフォルトでリージョンが設定されます。

必須：いいえ

--server-client-cert-file ＜クライアント証明書ファイルパス＞

TLS クライアント・サーバー相互認証に使用するクライアント証明書へのパス。

クライアント SDK 5 に含まれるデフォルトのキーと SSL/TLS 証明書を使用しない場合のみ、このオプションを使用します。このオプションは --server-client-key-file と組み合わせて設定する必要があります。

必須：いいえ

--server-client-key-file ＜クライアントキーファイルパス＞

TLS クライアントとサーバーの相互認証に使用されるクライアントキーへのパス。

クライアント SDK 5 に含まれるデフォルトのキーと SSL/TLS 証明書を使用しない場合のみ、このオプションを使用します。このオプションは --server-client-cert-file と組み合わせて設定する必要があります。

必須：いいえ

configure-pkcs11 remove-cluster

PKCS #11 を使用して複数のスロットに接続する場合は、configure-pkcs11 remove-cluster コマンドを使用して使用可能な PKCS#11 スロットからクラスターを削除します。

構文

configure-pkcs11 remove-cluster [OPTIONS]
        --cluster-id <CLUSTER ID>
        [-h, --help]

例

configure-pkcs11 remove-cluster とともに cluster-id パラメータを使用して、クラスター (cluster-1234567 の ID) を設定から削除します。

Linux

$ sudo /opt/cloudhsm/bin/configure-pkcs11 remove-cluster --cluster-id cluster-1234567
Windows

C:\Program Files\Amazon\CloudHSM\> .\configure-pkcs11.exe remove-cluster --cluster-id cluster-1234567

--cluster-id パラメータの詳細については、「パラメータ」をご参照ください。

パラメータ

--cluster-id <Cluster ID>

設定から削除するクラスターの ID

必須：はい