本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
AWS CloudHSM 叢集管理最佳實務
在建立、存取和管理 AWS CloudHSM 叢集時，請遵循本節中的最佳實務。
擴展叢集以處理尖峰流量
有幾個因素會影響叢集可以處理的最大輸送量，包括用戶端執行個體大小、叢集大小、網路拓撲，以及使用案例所需的密碼編譯操作。
作為起點，請參閱 主題AWS CloudHSM 效能資訊，以取得常見叢集大小和組態的效能預估。建議您使用預期的峰值負載來測試叢集，以判斷目前的架構是否具有彈性且規模適當。
架構叢集以獲得高可用性
將備援新增至維護帳戶： AWS 可能會取代您的 HSM以進行排程維護，或如果它偵測到問題。一般而言，叢集大小至少應具有 +1 備援。例如，如果您需要兩個 HSMs 才能讓服務在尖峰時間運作，則理想的叢集大小將為三個。如果您遵循與可用性相關的最佳實務，則這些HSM替換不應影響您的服務。不過，已取代 上的進行中操作HSM可能會失敗，必須重試。
將您的 分散HSMs到多個可用區域 ：考慮您的服務在可用區域中斷期間如何運作。 AWS 建議您盡可能分散您的 HSMs 到多個可用區域。對於具有三個 的叢集HSMs，您應該分散HSMs到三個可用區域。根據您的系統，您可能需要額外的備援。
至少有三個 HSMs 可確保新產生的金鑰的耐久性
對於需要新產生的金鑰耐久性的應用程式，我們建議在區域中的不同可用區域之間HSMs至少分散三個。
安全存取叢集
使用私有子網路來限制對執行個體 的存取：在 的私有子網路中啟動 HSMs和 用戶端執行個體VPC。這會限制HSMs從外部世界存取您的 。
使用VPC端點來存取 APIs： AWS CloudHSM 資料平面設計用於操作，而不需要存取網際網路或 AWS APIs。如果您的用戶端執行個體需要存取 AWS CloudHSM API，您可以使用VPC端點來存取 ，API而不需要用戶端執行個體上的網際網路存取。如需更多資訊，請參閱AWS CloudHSM 和VPC端點。
重新設定 SSL 以保護用戶端伺服器通訊： AWS CloudHSM 使用 TLS建立與 的連線HSM。初始化叢集後，您可以取代用於建立外部TLS連線的預設TLS憑證和金鑰。如需詳細資訊，請參閱使用 SSL/TLS 卸載來改善您的 Web 伺服器安全性 AWS CloudHSM。
根據您的需求擴展以降低成本
使用 無需預付費用 AWS CloudHSM。在您終止 之前，HSM您需為啟動的每個項目支付每小時費用HSM。如果您的服務不需要持續使用 AWS CloudHSM，您可以在不需要時將 縮減 （刪除） HSMs為零，以降低成本。HSMs 再次需要 時，您可以從備份還原您的 HSMs 。例如，如果您的工作負載需要您每月簽署一次程式碼，特別是在當月的最後一天，您可以之前擴展叢集，在HSMs工作完成後刪除您的 來縮減叢集規模，然後在下個月結束時恢復叢集以再次執行簽署操作。
AWS CloudHSM 會自動在叢集HSMs中定期備份 。在HSM稍後日期新增新 時， AWS CloudHSM 會將最新的備份還原到新 ，HSM以便您可以從您離開的相同位置恢復使用。若要計算您的 AWS CloudHSM 架構成本，請參閱AWS CloudHSM 定價
相關資源：
