As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
AWS CloudHSMbackups do cluster
AWS CloudHSMfaz backups periódicos dos usuários, chaves e políticas no cluster. O serviço armazena backups em um bucket do Amazon Simple Storage Service (Amazon S3) controlado por serviço na mesma região do cluster. A ilustração anterior mostra a relação de seus backups com o cluster. Os backups são seguros, duráveis e atualizados em um cronograma previsível. Para obter mais informações sobre segurança e durabilidade dos backups, consulte as seções a seguir. Para obter mais informações sobre backups, consulteGerenciando backups.
Segurança dos backups
Quando o AWS CloudHSM faz um backup do HSM, este criptografa todos os seus dados antes de os enviar ao AWS CloudHSM. Os dados nunca saem do HSM em formato de texto simples.
Para criptografar os dados, o HSM usa uma chave de criptografia temporária exclusiva como chave de backup temporária (EBK). A EBK é uma chave de criptografia AES de 256 bits gerada dentro do HSM quando o AWS CloudHSM faz um backup. O HSM gera a EBK e, em seguida, a utiliza para criptografar os dados do HSM com um método de encapsulamento de chave AES aprovado pelo FIPS e que está em conformidade com a publicação especial do NIST 800-38F
Para criptografar a EBK, o HSM usa outra chave de criptografia conhecida como chave de backup persistente (PBK). A PBK também é uma chave de criptografia AES de 256 bits. Para gerar a PBK, o HSM usa uma função de derivação de chaves (KDF) aprovada pelo FIPS no modo de contador compatível com a publicação especial 800-108 do NIST
-
Uma chave de backup da chave de fabricante (MKBK), permanentemente incorporada no hardware do HSM pelo fabricante.
-
Uma chave de backup da chave da AWS (AKBK), instalada com segurança no HSM ao ser configurado inicialmente pelo AWS CloudHSM.
Os processos de criptografia estão resumidos na figura a seguir. A chave de criptografia de backup representa a chave de backup persistente (PBK) e a chave de backup efêmera (EBK).
O AWS CloudHSM pode restaurar backups apenas para HSMs pertencentes à AWS feitos pelo mesmo fabricante. Como cada backup contém todos os usuários, chaves e configuração do HSM original, o HSM restaurado contém as mesmas proteções e controles de acesso do original. Os dados restaurados substituem todos os outros dados que possam ter estado no HSM antes da restauração.
Um backup consiste apenas em dados criptografados. Antes que o serviço armazene um backup no Amazon S3, o serviço criptografa o backup novamente usandoAWS Key Management Service(AWS KMS).
Durabilidade dos backups
AWS CloudHSMO armazena backups do cluster em um bucket do Amazon S3 do que o serviço controla. Os backups têm um nível de durabilidade de 99,999999999%, o mesmo que de qualquer objeto armazenado no Amazon S3.
