AWS CloudHSM 常见问题

您需要为 HSM 预置到 AWS CloudHSM 集群的小时数（不足 1 小时按 1 小时算）按小时支付费用。无 HSM 的集群不会产生费用，加密备份的自动存储也不会产生费用。有关更多信息，请参阅 AWS CloudHSM 定价页。请注意，与 HSM 之间的网络数据传输是单独收费的。有关更多信息，请查看 EC2 的数据传输定价。

不。AWS CloudHSM 不提供免费套餐。

不会。小时费用因区域而异，与您使用 HSM 的程度没关系。

不，我们不为 AWS CloudHSM 提供预留实例定价。

符合。要开始使用 AWS CloudHSM，需要满足几个前提条件，包括在想使用 AWS CloudHSM 服务的区域提供 Virtual Private Cloud（VPC）。有关更多信息，请参阅 AWS CloudHSM 用户指南。

不需要。AWS 会在硬件上管理固件。固件由第三方维护，并且每个固件都必须由 NIST 进行 FIPS 140-2 第 3 级合规性评估。只有由 FIPS 密钥加密签署的固件 (AWS 对其无访问权限) 才能安装。

无论哪种生产工作负载，AWS 都强烈建议您使用位于两个不同可用区中的至少两个 HSM。对于关键任务型工作负载，我们建议您使用位于至少两个不同可用区中的至少三个 HSM。CloudHSM 客户端将自动处理所有 HSM 故障，并以透明方式实现两个或两个以上的 HSM 到应用程序的负载均衡。

AWS 每天会自动对您的 CloudHSM 集群进行加密备份。AWS 会在集群生命周期事件（如添加或删除 HSM）发生时进行额外备份。在备份间隔的 24 小时时段内，您需全权负责创建或导入集群中的密钥材料的持久性。我们强烈建议您将创建的所有密钥同步至位于两个不同可用区中的至少两个 HSM 中，以确保密钥的持久性。请参阅 AWS CloudHSM 用户指南，了解有关密钥同步验证的更多详细信息。

当您的 CloudHSM 集群中拥有至少两个分布在两个可用区的 HSM 时，系统会自动提供高可用性。无需其他配置。如果集群中的一个 HSM 出现故障，系统会自动将其替换，并更新所有客户端以反映新配置，而无需中断任何处理过程。其他 HSM 可通过 AWS API 或开发工具包添加到集群中，从而在不中断应用程序的情况下提高可用性。

一个 CloudHSM 集群最多可以包含 28 个 HSM，具体取决于账户服务限制。在我们的在线文档中了解有关服务限制级如何请求提高限制的更多信息。

AWS 每天对 CloudHSM 集群进行备份。只要密钥的生成方式并非“不可导出”，您也可将其导出（“打包”）集群并存储在本地。

有，您可以在此处找到适用于 AWS CloudHSM 的服务等级协议（SLA）。

不可以。作为服务的一部分，您获得对 HSM 的单租户访问权限。您可以将底层硬件与其他客户共享，但 HSM 仅限您自己访问。

AWS CloudHSM 在设计之初就考虑到了责任分离和基于角色的访问控制。AWS 拥有对 HSM 的有限凭证，让我们能够监控和维护 HSM 的运行状况和可用性，获取加密的备份，提取审核日志并将其发布到您的 CloudWatch Logs 中。AWS 不能访问 CloudHSM 集群内的任何密钥或数据，且不能执行 HSM 设备用户允许的操作之外的任何操作。

请参阅 AWS CloudHSM 用户指南，了解有关责任分离及各类用户拥有的 HSM 功能的更多信息。

符合。AWS CloudHSM 针对 CloudWatch 集群和各个 HSM 发布了多个 Amazon CloudWatch 指标。您可以使用 Amazon CloudWatch 控制台、API 或开发工具包获取这些指标或针对其发布警报。

每个 HSM 都拥有一个经 FIPS 验证的 确定性随机数生成器（DRBG），该生成器在由符合 SP800-90B 的 HSM 硬件模块中的真随机数生成器（TRNG）的基础上形成。

AWS CloudHSM 具有物理和逻辑篡改检测和响应机制，可触发硬件的密钥删除（清零）。该硬件可以在物理屏障被突破后有效检测篡改行为。HSM 还可免受暴力登录攻击。在尝试使用管理员/加密员（CO）凭证访问 HSM 失败一定次数后，HSM 会锁定管理员/CO。同样地，在尝试使用加密用户（CU）凭证访问 HSM 失败一定次数后，用户即会被锁定，必须由 CO 或管理员解锁。

Amazon 会监控和维护 HSM 和网络的可用性和错误状况。如果 HSM 发生故障或网络连接中断，系统即会自动替换该 HSM。您可以使用 AWS CloudHSM API、软件开发工具包或 CLI 工具检查单个 HSM 的运行状况，还可以使用 AWS 产品运行状况控制面板随时检查服务的整体运行状况。

如果您的 AWS CloudHSM 集群只有一个 HSM，就有可能会丢失您在最新的日程备份后创建的密钥。有两个或多个 HSM（理想情况下，在单独的可用区中）的 AWS CloudHSM 集群将不会在单一 HSM 出现故障时丢失密钥。请参阅我们的最佳实践了解更多信息。

不可以。Amazon 不能访问您的密钥或凭证，因此在您丢失凭证时无法恢复您的密钥。

AWS CloudHSM 是在经联邦信息处理标准（FIPS）140-2 第 3 级验证的硬件的基础上构建的。要了解 CloudHSM 所使用硬件的 FIPS 140-2 安全配置文件及其运行的固件，可以访问我们的合规性页面。

支持。CloudHSM 提供经 FIPS 140-2 第 3 级验证的 HSM。可以遵循 CloudHSM 用户指南中验证 HSM 的真实性部分下的过程，以确认上一个问题中描述的 NIST 安全策略中指定的相同型号硬件上是否拥有真实的 HSM。

AWS CloudHSM 始终处于 FIPS 140-2 模式中。这一点可以使用 CloudHSM 用户指南中提及的 CLI 工具并运行 getHsmInfo 命令进行验证，这一操作将指明 FIPS 模式状态。

符合。AWS CloudTrail 会记录账户发起的 AWS API 调用。由 AWS CloudTrail 生成的 AWS API 调用历史记录让您可以执行安全分析、资源变更追踪以及合规性审计。有关 AWS CloudTrail 的更多信息，请参阅 CloudTrail 主页，可通过 CloudTrail 的 AWS 管理控制台将其打开。

AWS CloudTrail 不包含任何 HSM 设备或访问日志。系统直接通过 AWS CloudWatch Logs 将这些日志提供给您的 AWS 账户。有关更多详细信息，请参阅 AWS CloudHSM 用户指南。

请参阅 AWS 合规性站点，了解有关包含 CloudHSM 的合规性计划的更多信息。与其他 AWS 产品不同，关于 AWS CloudHSM 的合规性要求通常直接由硬件的 FIPS 140-2 第 3 级验证本身满足，而不是作为独立审核计划的一部分满足。

FIPS 140-2 级别 3 是某些使用案例 (包括文档签名、付款，或作为 SSL 证书的公有证书颁发机构运营) 的要求。

要了解 AWS CloudHSM 涵盖哪些合规性报告，查阅 AWS 按合规性计划提供的范围内服务上的数据。要创建免费、自助的按需合规性报告，请使用 AWS Artifact。

如果您仅对 AWS CloudHSM 提供的 FIPS 对 HSM 的验证感兴趣，请参阅 FIPS 验证。

性能可能因配置、数据大小和 EC2 实例上的额外应用程序负载而异。为了提高性能，您可以向集群添加更多 HSM 实例。我们鼓励对您的应用程序进行负载测试以确定扩展需求。

有关更多详细信息，请参阅 AWS CloudHSM 用户指南中的性能页面。

有关密钥存储和集群容量的详细信息，请参阅 AWS CloudHSM 配额。

不能直接这样使用。您应该使用带有自定义密钥存储的 AWS Key Management Service，通过在 CloudHSM 集群中生成和存储的密钥来保护 Amazon RDS 数据。

多个第三方供应商 支持将 AWS CloudHSM 用作可信根。这意味着，您在 CloudHSM 集群中创建并存储底层密钥时可以利用您选择的软件解决方案。

AWS CloudHSM 客户端库是 AWS 提供的一款软件包，让您和您的应用程序能够与 CloudHSM 集群交互。

没有。该客户端和您的 HSM 之间的所有通信都进行了端到端加密。AWS 无法查看或拦截这些通信，也无法查看您的群集访问凭证。

有关说明，请参阅 CloudHSM 用户指南

没有。CloudHSM 工具可使用 CloudHSM 客户端库通过经手动验证的安全通道，与您的 CloudHSM 集群直接通信。AWS 无法观察客户端、工具和 HSM 之间的任何通信。它是端到端加密的。

支持操作系统的完整列表见我们的在线文档。

您运行 CloudHSM 客户端库和/或使用 CLI 工具所在的主机必须能够通过网络访问 CloudHSM 集群中的所有 HSM。

您可以创建、修改、删除和获取 CloudHSM 集群与 HSM 的状态。您可以使用 AWS CloudHSM API 执行的操作限于 AWS 通过其受限的访问权限可执行的操作。API 无法访问 HSM 的内容，也无法修改任何用户、策略或其他设置。要了解更多信息，请参阅 CloudHSM 文档了解有关 API 的信息，或访问 Amazon Web Services 工具页面了解有关软件开发工具包的更多信息。

首先，确保 AWS CloudHSM 支持您所需的算法和模型。如果需要，可以请您的客户经理向我们提交功能请求。然后是确定您的密钥轮换策略。我们还发布了深入的 AWS CloudHSM 迁移指南。您现在可以随时开始使用 AWS CloudHSM。

您的轮换策略取决于应用程序的类型。常见示例如下：

• 用于签名的私有密钥：通常情况下，HSM 上的私有密钥对应着一个中间证书，中间证书又由离线企业根签署。您可以通过发布新的中间证书轮换密钥。先创建一个新的私有密钥，并使用 AWS CloudHSM 上的 OpenSSL 生成相应的 CSR。然后，使用同一离线企业根签署 CSR。您可能必须要向无法自动验证整个证书链的合作伙伴注册此新证书。接下来，您需要使用与新证书相对应的新私有密钥签署所有新请求（例如，对文档、代码或其他证书的请求）。您可以继续使用对应的公有密钥验证原始私有密钥的签名，无需撤销。这个过程类似于退出或存档签名密钥的过程。
• Oracle 透明数据加密：您可以先从硬件密钥存储库（您的原始 HSM）切换到软件密钥存储库，然后返回硬件密钥存储（AWS CloudHSM），从而传输您的 wallet。注意：如果您使用 Amazon RDS，请参阅上面的常见问题“AWS CloudHSM 是否支持 Amazon RDS Oracle TDE？”
• 用于信封加密的对称密钥：信封加密指的是一种密钥体系结构，在这种结构中，HSM 上的一个密钥对应用程序主机上的多个数据密钥进行加密/解密。您可能已经拥有一个密钥轮换流程，这样的话，您可以使用旧的包装密钥对数据密钥进行解密，然后使用新的包装密钥对其进行重新加密。迁移过程中的唯一区别是，AWS CloudHSM 将创建并使用新的包装密钥，而不是原始 HSM。如果您还没有密钥轮换工具和流程，则需要创建一个。

每个应用程序和使用案例都是不同的。CloudHSM 迁移指南讨论了常见场景的解决方案。如有其他问题，请打开支持案例，详细了解您的应用程序、您当前使用的 HSM 类型、您当前使用的密钥类型以及这些密钥是否可导出。我们将帮助您确定合适的迁移路径。

否，但 AWS 可能需要在进行必要的升级或硬件发生故障时执行维护。如果有任何影响，我们将尽力通过 Personal Health Dashboard 提前通知您。

请注意，架构集群以获得高可用性是您的责任。AWS 强烈建议您使用在不同可用区中含有两个或更多 HSM 的 CloudHSM 集群。您可以在我们的在线文档中了解有关建议最佳实践的更多信息。

您可以在我们的故障排除指南中找到常见问题的解决方案。如果您仍然遇到问题，请联系 AWS Support。