AWS CloudHSM 常見問答集

我們會根據 HSM 佈建到 AWS CloudHSM 叢集的每個小時 (或不足 1 小時) 按小時費率向您收費。不含 HSM 的叢集不會計費，我們自動儲存的加密備份也不會收費。如需詳細資訊，請瀏覽 AWS CloudHSM 定價頁面。請注意，往來 HSM 的網路資料傳輸會分開計費。如需詳細資訊，請參閱 EC2 的資料傳輸定價。

否，AWS CloudHSM 不提供免費方案。

否，小時費用雖然每個區域都不同，但不會依 HSM 用量而有不同。

不，我們不提供 AWS CloudHSM 的預留執行個體定價。

是。若要開始使用 AWS CloudHSM，需要一些先決條件，包括您想要使用 AWS CloudHSM 服務的區域中的 Virtual Private Cloud (VPC)。如需了解詳細資訊，請參閱 AWS CloudHSM 使用者指南。

否。AWS 會管理硬體上的韌體。韌體由第三方維護，而且每個韌體都必須由 NIST 針對 FIPS 140-2 第 3 級合規進行評估。只能安裝由 FIPS 金鑰 (AWS 沒有存取權) 以密碼編譯方式簽署的韌體。

針對任何生產工作負載，AWS 強烈建議在兩個不同可用區域至少使用兩個 HSM。如果是任務關鍵工作負載，我們建議至少在兩個個別的可用區域至少使用三個 HSM。CloudHSM 用戶端將採用對應用程式而言透明的方式自動處理任何 HSM 故障，並在兩個或多個 HSM 之間進行負載平衡。

AWS 每天都會對您的 CloudHSM 叢集執行自動加密備份。當發生叢集生命週期事件時 (如新增或移除 HSM)，AWS 會執行額外備份。在每次備份之間的 24 小時期間建立或匯入叢集的金鑰材料耐久性，則由您負完全責任。我們強烈建議務必將建立的任何金鑰同步到兩個不同可用區域的至少兩個 HSM，以確保金鑰的耐久性。請參閱 AWS CloudHSM 使用者指南，了解驗證金鑰同步的詳細資訊。

CloudHSM 叢集中至少有兩個 HSM 分散到兩個可用區域時，可自動提供高可用性。無需其他額外的組態。如果叢集中的一個 HSM 故障，就會被自動取代，而且所有用戶端都會更新以反映新組態，無須中斷任何處理。透過 AWS API 或軟體開發套件可將額外的 HSM 新增到叢集以提高可用性，無須中斷應用程式。

單一 CloudHSM 叢集最多可包含 28 個 HSM，但須遵循帳戶服務限制。請瀏覽我們的線上文件，進一步了解有關服務限制以及如何請求提高限制的資訊。

AWS 每天都會備份 CloudHSM 叢集。此外，只要產生的金鑰不是「不可匯出」，就可以將金鑰匯出 (「包裝」) 叢集並存放在內部部署。

是，您可以在這裡找到適用於 AWS CloudHSM 的服務水準協議 (SLA)。

否。在這個服務中，您會收到 HSM 的單一租用戶存取權。基礎硬體可與其他客戶共享，但只有您可以存取 HSM。

AWS CloudHSM 在當初設計時就考慮到了責任分離和以角色為基礎的存取控制。AWS 對 HSM 的憑證設有限制，這讓我們能夠監控和維護 HSM 的運作狀態和可用性，進行加密備份，以及將稽核日誌擷取並發佈至您的 CloudWatch Logs。AWS 無法存取 CloudHSM 叢集內的任何金鑰或資料，並且除 HSM 設備使用者允許的操作外，不能執行任何其他操作。

請參閱 AWS CloudHSM 使用者指南，了解責任分離以及每個使用者類別在 HSM 擁有的功能。

是。AWS CloudHSM 會針對 CloudHSM 叢集和個別 HSM 發佈多個 Amazon CloudWatch 指標。您可以使用 Amazon CloudWatch 主控台、API 或 SDK 取得這些指標或發出警示。

每個 HSM 都有一個經過 FIPS 驗證的決定性隨機位元產生器 (DRBG)，它是從符合 SP800-90B 標準的 HSM 硬體模組內的真實隨機數字產生器 (TRNG) 產生。

AWS CloudHSM 具備實體和邏輯竄改偵測及回應機制，能夠觸發硬體的金鑰刪除 (歸零化)。該硬體的設計可在實體屏障被突破時偵測竄改行為。HSM 還具備防止暴力登入攻擊的保護。嘗試使用管理員或加密管理員 (CO) 憑證存取 HSM 時，失敗嘗試次數超過固定次數之後，HSM 就會鎖住管理員/CO。同樣地，嘗試使用加密使用者 (CU) 憑證存取 HSM 時，失敗超過固定次數之後，將鎖住使用者，之後必須由 CO 或管理員解除鎖定。

Amazon 會監控和維護 HSM 和網路的可用性和錯誤條件。如果 HSM 故障或網路連線中斷，將自動替換該 HSM。您可以使用 AWS CloudHSM 的 API、SDK 或 CLI 工具來檢查個別 HSM 的運作狀態，還可以使用 AWS 服務運作狀態儀表板隨時檢查服務的整體運作狀態。

如果您的 AWS CloudHSM 叢集只有一個 HSM，是的，可能會遺失自最近每日備份以來建立的金鑰。如果具有兩個或多個 HSM 的 AWS CloudHSM 叢集 (最好在單獨的可用區域中)，則在單一 HSM 發生故障時不會遺失金鑰。如需詳細資訊，請參閱我們的最佳實務。

Amazon 不能存取您的金鑰或憑證，因此在您遺失登入資料時無法恢復您的金鑰。

AWS CloudHSM 建立在硬體上，已通過聯邦資訊處理標準 (FIPS) 140-2 第 3 級驗證。您可以在我們的合規頁面找到有關 CloudHSM 所使用硬體的 FIPS 140-2 安全性設定檔及其執行韌體的資訊。

是，CloudHSM 提供已通過 FIPS 140-2 第 3 級驗證的 HSM。您可以按照 CloudHSM 使用者指南中驗證叢集 HSM 的身分和真偽 (選用) 下的程序操作，確認您在上個問題所述的 NIST 安全政策中指定的相同型號硬體上有真實的 HSM。

AWS CloudHSM 永遠為 FIPS 140-2 模式。使用 CloudHSM 使用者指南中所述的 CLI 工具並執行 getHsmInfo 命令 (可顯示 FIPS 模式狀態) 即可確認。

是。AWS CloudTrail 會記錄您的帳戶所發出的 AWS API 呼叫。AWS CloudTrail 產生的 AWS API 呼叫歷史記錄可讓您執行安全分析、資源變更追蹤以及合規稽核。在 CloudHSM 首頁進一步了解有關 AWS CloudTrail 的資訊，並透過 CloudTrail 的 AWS 管理主控台開啟此功能。

AWS CloudTrail 不包含任何 HSM 裝置或存取日誌。這些資料會透過 AWS CloudWatch Logs 直接提供給您的 AWS 帳戶。有關詳細資訊，請參閱 AWS CloudHSM 使用者指南。

請參考 AWS 合規網站，了解哪些合規計畫涵蓋 CloudHSM 的詳細資訊。AWS CloudHSM 與其他 AWS 服務不同，它通常透過硬體本身的 FIPS 140-2 第 3 級驗證直接滿足相關合規要求，而不是做為個別稽核計劃的一部分。

FIPS 140-2 第 3 級是特定使用案例的要求，包括文件簽署、付款，或是做為 SSL 憑證的公開憑證授權機構運作。

若要查看 AWS CloudHSM 的範圍內合規報告，請檢閱合規計劃的 AWS 服務範圍中的資料。若要建立免費的自助式隨需合規報告，請使用 AWS Artifact。

如果您僅對 AWS CloudHSM 提供的 HSM 的 FIPS 驗證感興趣，請參閱 FIPS 驗證。

效能可能會因 EC2 執行個體上的組態、資料大小和其他應用程式負載而異。若要提高效能，您可以將其他 HSM 執行個體新增至叢集。我們鼓勵對您的應用程式進行負載測試，以判斷擴展需求。

如需詳細資訊，請參閱 AWS CloudHSM 使用者指南中的效能頁面。

如需關鍵儲存和叢集容量的詳細資訊，請參閱 AWS CloudHSM 配額。

不能直接使用。您應使用 AWS Key Management Service 搭配自訂金鑰存放區，透過 CloudHSM 叢集中產生和存放的金鑰保護 Amazon RDS 資料的安全。

多家第三方供應商支援將 AWS CloudHSM 作為信任根。這意味著您可以在建立底層金鑰並將其儲存在 CloudHSM 叢集中時，利用選擇的軟體解決方案。

AWS CloudHSM Client Library 是 AWS 提供的軟體套件，可讓您和應用程式與 CloudHSM 叢集互動。

否。用戶端和您 HSM 之間的所有通訊都會使用端對端加密。AWS 無法看到或攔截這些通訊，也無法取得您的叢集存取登入資料。

相關指示請參閱 CloudHSM User Guide。

否。CloudHSM 工具經由相互驗證的安全通道，透過 CloudHSM Client Library 直接與 CloudHSM 叢集通訊。AWS 無法觀察用戶端、工具與 HSM 之間的任何通訊。其採用端對端加密。

我們的線上文件中提供了支援的作業系統完整清單。

執行 CloudHSM Client Library 及/或使用 CLI 工具所在的主機，必須能夠透過網路連接 CloudHSM 叢集中的所有 HSM。

您可以建立、修改、刪除 CloudHSM 叢集和 HSM 以及取得它們的狀態。AWS CloudHSM API 可執行的操作受限於 AWS 受限存取權可執行的操作。API 無法存取 HSM 的內容，也不能修改任何使用者、政策或其他設定。要進一步了解，請參閱 CloudHSM 文件以了解關於 API 的資訊，或參閱 Amazon Web Services 工具頁面以了解 SDK 的詳細資訊。

首先，確定 AWS CloudHSM 支援您需要的演算法和模式。您的帳戶管理員可在需要時提交功能請求給我們。接下來，決定您的金鑰輪換策略。我們也已發佈了深入的 AWS CloudHSM 遷移指南。您現在已經可以開始使用 AWS CloudHSM。

輪換策略依應用程式類型而有不同。以下是一些常見範例。

• 簽署用的私有金鑰：通常 HSM 上的私有金鑰對應到中繼憑證，而該憑證則是由離線企業根認證機構簽署。您透過發出新的中繼憑證來輪換金鑰。在 AWS CloudHSM 上建立新的私有金鑰，然後使用 OpenSSL 產生對應的 CSR。接著，以相同的離線企業根認證機構簽署 CSR。您可能需要與無法自動驗證整個憑證鏈的所有合作夥伴註冊這個新的憑證。之後，使用對應到新憑證的新私有金鑰簽署所有新的請求 (例如，簽署文件、程式碼或其他憑證) 即可。您可以繼續使用對應的公有金鑰驗證來自原始私有金鑰的簽章。無須撤銷。這個程序與淘汰或存檔簽署金鑰的程序很類似。
• Oracle 透明資料加密：若要傳輸您的錢包，首先從硬體金鑰存放區 (您的原始 HSM) 切換到軟體金鑰存放區，然後再切換回硬體金鑰存放區 (AWS CloudHSM)。注意：如果您在使用 Amazon RDS，請參閱上述常見問答集中的「AWS CloudHSM 是否支援 Amazon RDS Oracle TDE？」
• 封套加密的對稱金鑰：封套加密是指使用 HSM 上的一個金鑰加密/解密應用程式主機上眾多資料金鑰的金鑰架構。您可能已經設置一個要完成的金鑰輪換程序，然後使用舊的封裝金鑰解密資料金鑰，並使用新的封裝金鑰再次加密資料金鑰。唯一的不同是，移轉期間建立的新封裝金鑰將用於 AWS CloudHSM 而不是您的原始 HSM。如果您尚未設定金鑰輪換工具和程序，則需要建立一個。

每個應用程式和使用案例皆不同。CloudHSM 移轉指南中有常見案例解決方案的討論。至於其他問題，請開啟一個支援案例，詳細描述您的應用程式、使用的 HSM 類型、使用的金鑰類型，以及這些金鑰是否可匯出。我們將協助您決定適當的遷移路徑。

否，但在必須升級或硬體出現故障的情況下，AWS 可能需要進行維護。如果預計會產生任何影響，我們將竭盡全力使用 Personal Health Dashboard 提前通知您。

請注意，您有責任建構叢集以實現高可用性。AWS 強烈建議您在個別可用區域的兩個或多個 HSM 使用 CloudHSM 叢集。您可以瀏覽我們的線上文件，進一步了解有關推薦最佳實務的資訊。

您可以在我們的疑難排解指南中找到常見問題的解決方案。如果您仍然遇到問題，請聯絡 AWS Support。