金錀屬性參考

key_mgmt_util 命令使用常數來代表 HSM 中的金鑰屬性。這個主題可協助您識別屬性、尋找在命令中代表這些屬性的常數，以及了解屬性的值。

您在建立金鑰時會設定金鑰的屬性。如要變更權杖屬性 (指明金鑰是持久性金錀還是工作階段金錀)，請使用 key_mgmt_util 中的 setAttribute 命令。如要變更標籤、包裝、取消包裝、加密和解密屬性，請使用 cloudhsm_mgmt_util 中的 setAttribute 命令。

若要取得屬性及其常數的清單，請使用 listAttributes。若要取得金鑰的屬性值，請使用 getAttribute。

下表列出金鑰屬性、其常數及其有效值。

屬性	常數	值
OBJ_ATTR_ALL	512	代表所有屬性。
OBJ_ATTR_ALWAYS_SENSITIVE	357	0：False。 1：True。
OBJ_ATTR_CLASS	0	2：公有/私有金鑰對中的公有金鑰。 3：公有/私有金鑰對中的私有金鑰。 4：私密 (對稱) 金鑰。
OBJ_ATTR_DECRYPT	261	0：False。 1：True。金鑰可用來解密資料。
OBJ_ATTR_DERIVE	268	0：False。 1：True。此函數將衍生金鑰。
OBJ_ATTR_DESTROYABLE	370	0：False。 1：True。
OBJ_ATTR_ENCRYPT	260	0：False。 1：True。金鑰可用來加密資料。
OBJ_ATTR_EXTRACTABLE	354	0：False。 1：True。可以從 HSM 匯出金鑰。
OBJ_ATTR_ID	258	使用者定義的字串。在叢集內必須是唯一的。預設為空字串。
OBJ_ATTR_KCV	371	金鑰的金鑰檢查值。如需詳細資訊，請參閱其他詳細資訊。
OBJ_ATTR_KEY_TYPE	256	0：RSA。 1：DSA。 3：EC。 16：一般機密。 18：RC4。 21：三重 DES (3DES)。 31：AES。
OBJ_ATTR_LABEL	3	使用者定義的字串。在叢集內不必是唯一的。
OBJ_ATTR_LOCAL	355	0。False。金鑰已匯入到 HSM。 1：True。
OBJ_ATTR_MODULUS	288	用於產生 RSA 金鑰對的模數。如果是 EC 金鑰，這個值則代表以十六進位格式表示 ANSI X9.62 ECPoint 值「Q」的 DER 編碼。 對於其他金鑰類型，這個屬性不存在。
OBJ_ATTR_MODULUS_BITS	289	用於產生 RSA 金鑰對的模數長度。如果是 EC 金錀，則代表用於產生金錀的橢圓曲線的 ID。 對於其他金鑰類型，這個屬性不存在。
OBJ_ATTR_NEVER_EXTRACTABLE	356	0：False。 1：True。金鑰無法從 HSM 匯出。
OBJ_ATTR_PUBLIC_EXPONENT	290	用於產生 RSA 金鑰對的公有指數。 對於其他金鑰類型，這個屬性不存在。
OBJ_ATTR_PRIVATE	2	0：False。 1：True。此屬性指出未經授權的使用者可以索引鍵屬性。由於 CloudHSM PKCS # 11 供應商目前不支援公有工作階段，所有金鑰 (包括公有金鑰的公有私有金鑰對) 有此屬性設定為 1。
OBJ_ATTR_SENSITIVE	259	0：False。公有/私有金鑰對中的公有金鑰。 1：True。
OBJ_ATTR_SIGN	264	0：False。 1：True。金鑰可用於簽署 (私有金鑰)。
OBJ_ATTR_TOKEN	1	0：False。工作階段金鑰。 1：True。持久性金鑰。
OBJ_ATTR_TRUSTED	134	0：False。 1：True。
OBJ_ATTR_UNWRAP	263	0：False。 1：True。金鑰可用來解密金鑰。
OBJ_ATTR_UNWRAP_TEMPLATE	1073742354	這些值應使用已套用於以此包裝金鑰取消包裝之任何金鑰的屬性範本。
OBJ_ATTR_VALUE_LEN	353	金鑰長度 (以位元組為單位)。
OBJ_ATTR_VERIFY	266	0：False。 1：True。金鑰可用於驗證 (公有金鑰)。
OBJ_ATTR_WRAP	262	0：False。 1：True。金鑰可用來加密金鑰。
OBJ_ATTR_WRAP_TEMPLATE	1073742353	這些值應使用屬性範本來匹配使用此包裝金鑰所包裝的金鑰。
OBJ_ATTR_WRAP_WITH_TRUSTED	528	0：False。 1：True。

其他詳細資訊

金鑰檢查值 (kcv)

金鑰檢查值 (KCV) 是 HSM 匯入或產生金鑰時所產生之金鑰的 3 位元組雜湊或總和檢查碼。您也可以在 HSM 之外計算 KCV，例如在匯出金鑰之後。然後，您可以比較 KCV 值以確認金鑰的身分和完整性。若要取得金鑰的 KCV，請使用 getAttribute。

AWS CloudHSM 使用下列標準方法來產生金鑰檢查值：

• 對稱密鑰：使用金鑰加密零塊的結果的前 3 個位元組。

• 非對稱金鑰配對：公有金鑰 SHA-1 雜湊的前 3 個位元組。

• HMAC 金鑰：目前不支援 HMAC 金鑰的 KCV。