As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Clusters do AWS CloudHSM
O AWS CloudHSM fornece módulos de segurança de hardware (HSMs) em um cluster. Um cluster é um conjunto de HSMs individuais que o AWS CloudHSM mantém em sincronia. Você pode considerar um cluster como um HSM lógico. Ao executar uma tarefa ou operação em um HSM em um cluster, os outros HSMs nesse cluster são atualizados automaticamente.
Você pode criar um cluster que tem de 1 a 28 HSMs (o limite padrão é 6 HSMs por conta da AWS por região da AWS). Coloque os HSMs em zonas de disponibilidade diferentes em uma região da AWS. Adicionar mais HSMs em um cluster fornece maior desempenho. Espalhar clusters pelas zonas de disponibilidade fornece redundância e alta disponibilidade.
Fazer com que HSMs individuais trabalhem juntos em um cluster sincronizado, redundante e altamente disponível pode ser difícil, mas o AWS CloudHSM executa algumas tarefas pesadas não diferenciadas para você. Você pode adicionar e remover HSMs em um cluster e permitir que o AWS CloudHSM mantenha HSMs conectado e em sincronia para você.
Para criar um cluster, consulte Começar a usar.
Para obter mais informações sobre clusters, consulte os tópicos a seguir.
Tópicos
Arquitetura de cluster
Ao criar um cluster, você especifica uma Amazon Virtual Private Cloud (VPC) em suaAWS conta e uma ou mais sub-redes nessa VPC. Recomendamos criar uma sub-rede em cada zona de disponibilidade (AZ) na região escolhida da AWS. Você usará sub-redes de sub-redes de sub-redes ao criar uma VPC. Para saber mais, consulte Crie uma nuvem privada privada privada virtual (VPC).
Toda vez que criar um HSM, especifique o cluster e a zona de disponibilidade para o HSM. Ao colocar os HSMs em diferentes zonas de disponibilidade, você alcançará redundância e alta disponibilidade caso uma zona de disponibilidade não esteja disponível.
Ao criar um HSM, o AWS CloudHSM coloca uma interface de rede elástica (ENI) na sub-rede especificada da sua conta da AWS. A interface de rede elástica é a interface para interação com o HSM. O HSM reside em uma VPC separada na conta da AWS que pertence ao AWS CloudHSM. O HSM, e sua interface de rede correspondente, estão na mesma zona de disponibilidade.
Para interagir com os HSMs em um cluster, é necessário o software cliente do AWS CloudHSM. Normalmente, você instala o cliente em instâncias do Amazon EC2, conhecidas como instâncias de cliente, que residem na mesma VPC das ENIs do HSM, conforme mostrado na figura a seguir. No entanto, isto não é tecnicamente necessário; é possível instalar o cliente em qualquer computador compatível, desde que ele possa ser conectado a ENIs de HSM. O cliente se comunica com HSMs individuais no cluster por meio dos ENIs respectivos.
A figura a seguir representa um cluster do AWS CloudHSM com três HSMs, cada um em uma zona de disponibilidade diferente na VPC.
Sincronização de cluster
Em um cluster do AWS CloudHSM, o AWS CloudHSM mantém as chaves nos HSMs individuais em sincronia. Você não precisa fazer nada para sincronizar as chaves nos HSMs. Para manter os usuários e as políticas de cada HSM em sincronia, atualize o arquivo de configuração do AWS CloudHSM cliente antes de gerenciar os usuários do HSM. Para obter mais informações, consulte Mantenha os usuários do HSM sincronizados.
Ao adicionar um novo HSM a um cluster, o AWS CloudHSM realiza um backup de todas as chaves, usuários e políticas em um HSM existente. Depois, restaura esse backup no novo HSM. Isso mantém os dois HSMs em sincronia.
Se os HSMs em um cluster ficarem fora de sincronia, o AWS CloudHSM faz a ressincronização automaticamente. Para habilitar isso, o AWS CloudHSM usa as credenciais do usuário do dispositivo. Este usuário existe em todos os HSMs fornecidos pelo AWS CloudHSM, e tem permissões limitadas. Ele pode obter um hash de objetos no HSM e extrair e inserir objetos mascarados (criptografados). O AWS não consegue visualizar nem modificar os usuários ou as chaves, além de não poder executar qualquer operação criptográfica usando essas chaves.
Alta disponibilidade e balanceamento de carga do cluster
Ao criar um cluster do AWS CloudHSM com mais de um HSM, o balanceamento de carga é obtido automaticamente. Balanceamento de carga significa que o cliente do AWS CloudHSM distribui as operações criptográficas por todos os HSM no cluster com base na capacidade de processamento adicional de cada HSM.
Ao criar os HSMs em diferentes zonas de disponibilidade da AWS, a alta disponibilidade é obtida automaticamente. Alta disponibilidade significa obter maior confiabilidade, pois nenhum HSM individual é um ponto único de falha. Recomendamos ter no mínimo dois HSMs em cada cluster, com cada HSM em uma zona de disponibilidade diferente dentro de uma região da AWS.
Por exemplo, a figura a seguir mostra um aplicativo de banco de dados Oracle que é distribuído para duas diferentes zonas de disponibilidade. As instâncias de banco de dados armazenam suas chaves mestras em um cluster que inclui um HSM em cada zona de disponibilidade. O AWS CloudHSM sincroniza automaticamente as chaves com ambos os HSMs para que eles sejam imediatamente acessíveis e redundantes.
