Assinatura criptográfica de licenças no License Manager

O License Manager pode assinar criptograficamente licenças emitidas por um ou por meio de ISV AWS Marketplace em nome de umISV. A assinatura permite que os fornecedores validem a integridade e a origem de uma licença dentro do próprio aplicativo, mesmo em um ambiente offline.

Para assinar licenças, o License Manager usa um sistema assimétrico AWS KMS key pertencente a um ISV e protegido em AWS Key Management Service (AWS KMS). Esse par gerenciado pelo cliente CMK consiste em um par matematicamente relacionado de chave pública e chave privada. Quando um usuário solicita uma licença, o License Manager gera um JSON objeto listando os direitos da licença e assina esse objeto com a chave privada. A assinatura e o JSON objeto de texto simples são devolvidos ao usuário. Qualquer pessoa apresentada com esses objetos pode usar a chave pública para validar se o texto da licença não foi alterado e se a licença foi assinada pelo proprietário da chave privada. A parte privada do par de chaves nunca sai AWS KMS. Para obter mais informações sobre criptografia assimétrica em AWS KMS, consulte Uso de chaves simétricas e assimétricas.

nota

O License Manager chama o AWS KMS Signe VerifyAPIoperações ao assinar e verificar licenças. O CMK deve ter um valor de uso da chave de SIGN_ VERIFY para ser usado por essas operações. Essa variedade de CMK não pode ser usada para criptografia e descriptografia.

O fluxo de trabalho a seguir descreve a emissão de licenças assinadas criptograficamente:

1. No painel, AWS KMS console, ou APISDK, o administrador da licença cria um cliente assimétrico gerenciado. CMK Eles CMK devem ter uma chave de uso de assinar e verificar e suportar o algoritmo de assinatura RSASSA - PSS SHA -256. Para obter mais informações, consulte Criação assimétrica CMKs e Como escolher sua CMK configuração.

2. No License Manager, o administrador da licença cria uma configuração de consumo que inclui um AWS KMS ARNou ID. A configuração pode especificar uma ou ambas as opções de Empréstimo e provisória. Para obter mais informações, consulte Criar um bloco de licenças emitidas pelo vendedor.

3. Um usuário final obtém a licença usando a operação ou. CheckoutLicenseCheckoutBorrowLicenseAPI A operação CheckoutBorrowLicense é permitida somente em licenças com o Borrow configurado. Ele retorna uma assinatura digital como parte de sua resposta junto com os direitos da lista de JSON objetos. O texto simples é JSON semelhante ao seguinte:

   {
      "entitlementsAllowed":[
         {
            "name":"EntitlementCount",
            "unit":"Count",
            "value":"1"
         }
      ],
      "expiration":"2020-12-01T00:47:35",
      "issuedAt":"2020-11-30T23:47:35",
      "licenseArn":"arn:aws:license-manager::123456789012:license:l-6585590917ad46858328ff02dEXAMPLE",
      "licenseConsumptionToken":"306eb19afd354ba79c3687b9bEXAMPLE",
      "nodeId":"100.20.15.10",
      "checkoutMetadata":{
         "Mac":"ABCDEFGHI"
      }
   }