一般問題
問：什麼是 AWS CloudHSM？
AWS CloudHSM 服務透過在 AWS 雲端中使用專用的硬體安全模組 (HSM) 執行個體，協助您滿足資料安全方面的企業、合約和法規遵循要求。AWS 和 AWS Marketplace 合作夥伴為保護 AWS 平台中的敏感資料提供了多種解決方案，但對於需符合管理加密金鑰方面嚴格的合約或法規要求的應用程式和資料，有時必須提供額外的保護。CloudHSM 可補足現有的資料保護解決方案，並讓您在根據安全金鑰管理的政府標準所設計和驗證的 HSM 中保護您的加密金鑰。CloudHSM 以只有您能存取金鑰的方式來讓您安全地產生、儲存和管理用於資料加密的加密金鑰。
問：什麼是硬體安全模組 (HSM)？
硬體安全模組 (HSM) 在防竄改的硬體裝置中提供安全的金鑰儲存和加密操作。HSM 旨在安全地存放加密金鑰材料及使用金鑰材料，而不使其暴露於硬體的加密邊界之外。
問：CloudHSM 可以用來做什麼？
您可以使用 CloudHSM 服務來支援各種使用案例和應用程式，例如，資料庫加密、數位版權管理 (DRM)、公開金鑰基礎設施 (PKI)、身份驗證和授權、文件簽署以及交易處理。
問：CloudHSM 如何運作？
當您使用 AWS CloudHSM 服務時，要建立 CloudHSM 叢集。叢集可包含一個區域中分散到多個可用區域的多個 HSM。叢集中的 HSM 會自動同步並進行負載平衡。您會收到叢集中每個 HSM 的單一租用戶專用存取權。每個 HSM 在 Amazon Virtual Private Cloud (VPC) 中會顯示為網路資源。在叢集新增和移除 HSM 只需呼叫一次 AWS CloudHSM API (或使用 AWS CLI 透過命令列執行)。建立並初始化 CloudHSM 叢集之後，您可在 EC2 執行個體上設定用戶端，讓應用程式透過安全、經過驗證的網路連線使用叢集。
該服務會自動監控您的 HSM 的運作狀態，但任何 AWS 人員都無法存取您的金鑰或資料。您的應用程式使用標準的加密 API，並結合在應用程式執行個體上安裝的 HSM 用戶端軟體，以傳送加密請求到 HSM。用戶端軟體會維護一個連至叢集中所有 HSM 的安全通道，並在此通道傳送請求，而 HSM 執行操作後再透過安全通道傳回結果。然後，用戶端透過加密 API 將結果傳回應用程式。
問：目前我沒有 VPC。是否還可以使用 AWS CloudHSM？
否。為了保護您的 AWS CloudHSM，並與其他 Amazon 客戶有所區隔，必須在 Amazon VPC 內部佈建 CloudHSM。建立 VPC 很容易。有關詳細資訊，請參閱 VPC Getting Started Guide。
問：我的應用程式是否需要存在於與 CloudHSM 叢集相同的 VPC 中？
否，但您的應用程式和 HSM 用戶端執行所在的伺服器或執行個體必須能夠透過網路 (IP) 存取叢集內所有的 HSM。您可以用多種方式來建立應用程式到 HSM 的網路連接，其中包含使用相同的 VPC、使用 VPC 對等、使用 VPN 連接或使用 Direct Connect。有關詳細資訊，請參閱 VPC Peering Guide 和 VPC User Guide。
問：CloudHSM 是否能與現場部署 HSM 搭配使用？
是。儘管 CloudHSM 無法直接與現場部署 HSM 搭配使用，但您可以安全地使用數種支援的 RSA 金鑰包裝方法，在 CloudHSM 和大多數商業 HSM 間傳輸可匯出的金鑰。
問：我的應用程式該如何使用 CloudHSM？
我們已經將 CloudHSM 與一些第三方軟體解決方案 (如 Oracle Database 11g 和 12c) 和 Web 服務 (包括適用於 SSL 卸載的 Apache 和 Nginx) 進行整合和測試。如需詳細資訊，請參閱 CloudHSM User Guide。
若您要開發自己的自訂應用程式，該應用程式可以使用 CloudHSM 支援的標準 API，包含 PKCS#11 和 Java JCA/JCE (Java Cryptography Architecture/Java Cryptography Extension)，或 Microsoft CAPI/CNG。請參閱 CloudHSM 使用者指南，以取得程式碼範例和入門協助。
若您要將現有的工作負載從 CloudHSM Classic 或現場部署 HSM 移動到 CloudHSM，可以參考我們的 CloudHSM 移轉指南，了解如何規劃及進行移轉。
問：是否可以使用 CloudHSM 來儲存其他 AWS 服務使用的金鑰或加密資料？
是。您可以在與 CloudHSM 整合的應用程式執行所有加密。在這種情況下，AWS 服務 (如 Amazon S3 或 Amazon Elastic Block Store (EBS)) 只會看到您的資料已加密。
問：其他 AWS 服務是否可以使用 CloudHSM 存放和管理金鑰？
AWS 服務與 AWS Key Management Service 整合，因此也會透過 KMS 自訂金鑰存放區功能與 AWS CloudHSM 整合。若您想使用多數 AWS 服務 (如 EBS、S3 或 Amazon RDS) 提供的伺服器端加密技術，您可以在 AWS KMS 設定自訂金鑰存放區執行此動作。
問：CloudHSM 是否可以用來執行個人識別碼 (PIN) 區塊轉譯或其他在扣款支付交易中使用的加密操作？
CloudHSM 目前提供一般用途 HSM。我們未來可能會提供付款功能。如果您對此感興趣，請聯絡我們。
問：如何開始使用 CloudHSM？
您可以在 CloudHSM 主控台佈建 CloudHSM 叢集，也可以透過 AWS 開發套件或 API 執行幾個 API 呼叫進行佈建。要進一步了解，請參閱 CloudHSM User Guide 取得入門資訊，或參閱 CloudHSM 文件獲得關於 CloudHSM API 的資訊，也可以瀏覽 Amazon Web Services 工具頁面以了解有關軟體開發套件的詳細資訊。
問：如何終止 CloudHSM 服務？
您可以使用 CloudHSM API 主控台或軟體開發套件刪除 HSM 及停止使用服務。有關進一步指示，請參閱 CloudHSM User Guide。
計費
問：使用 AWS CloudHSM 服務如何計價和收費？
我們會根據 HSM 佈建到 CloudHSM 叢集的每個小時 (或不足 1 小時) 按小時費率向您收費。不含 HSM 的叢集不會計費，我們自動儲存的加密備份也不會收費。如需詳細資訊，請瀏覽 CloudHSM 定價頁面。請注意，往來 HSM 的網路資料傳輸會分開計費。如需詳細資訊，請參閱 EC2 的資料傳輸定價。
問：CloudHSM 服務是否提供免費方案？
否，CloudHSM 不提供免費方案。
問：費用是否會依 HSM 上建立的使用者或金鑰數量而有不同？
否，小時費用雖然每個區域都不同，但不會依 HSM 用量而有不同。
問：是否提供 CloudHSM 的預留執行個體定價？
不，我們不提供 CloudHSM 的預留執行個體定價。
佈建和操作
問：使用 CloudHSM 是否有先決條件？
是。要開始使用 CloudHSM 需要滿足幾個先決條件，其中包含在您要 CloudHSM 服務的區域提供 Virtual Private Cloud (VPC)。有關詳細資訊，請參閱 CloudHSM User Guide。
問：是否需要管理自己 HSM 上的韌體？
否。AWS 會管理硬體上的韌體。韌體由第三方維護，而且每個韌體都必須由 NIST 針對 FIPS 140-2 第 3 級合規進行評估。只能安裝由 FIPS 金鑰 (AWS 沒有存取權) 以密碼編譯方式簽署的韌體。
問：CloudHSM 叢集中應該有多少個 HSM？
針對任何生產工作負載，AWS 強烈建議在兩個不同可用區域至少使用兩個 HSM。如果是任務關鍵工作負載，我們建議至少在兩個個別的可用區域至少使用三個 HSM。CloudHSM 用戶端將採用對應用程式而言透明的方式自動處理任何 HSM 故障，並在兩個或多個 HSM 之間進行負載平衡。
問：誰負責金鑰的耐久性？
AWS 每天都會自動針對 CloudHSM 叢集執行加密備份，當發生叢集生命週期事件時 (如新增或移除 HSM)，則會執行額外備份。在每次備份之間的 24 小時期間建立或匯入叢集的金鑰材料耐久性，則由您負完全責任。我們強烈建議務必將建立的任何金鑰同步到兩個不同可用區域的至少兩個 HSM，以確保金鑰的耐久性。請參閱 CloudHSM User Guide，了解驗證金鑰同步的詳細資訊。
問：如何設定高可用性 (HA) 組態？
CloudHSM 叢集中至少有兩個 HSM 時可自動提供高可用性。不需其他額外的組態。如果叢集中的一個 HSM 故障，就會被自動取代，而且所有用戶端都會更新以反映新組態，無須中斷任何處理。透過 AWS API 或軟體開發套件可將額外的 HSM 新增到叢集以提高可用性，無須中斷應用程式。
問：CloudHSM 叢集中可包含多少個 HSM？
單一 CloudHSM 叢集最多可包含 28 個 HSM，但須遵循帳戶服務限制。您可以瀏覽我們的線上文件，進一步了解有關服務限制以及如何請求提高限制的資訊。
問：是否可以備份 CloudHSM 的內容？
AWS 每天都會備份 CloudHSM 叢集。此外，只要產生的金鑰不是「不可匯出」，就可以將金鑰匯出 (「包裝」) 叢集並存放在內部部署。
問：是否有適用於 CloudHSM 的 SLA？
是，您可以在這裡找到適用於 AWS CloudHSM 的服務水準協議 (SLA)。
安全與合規
問：是否要與其他 AWS 客戶共享 CloudHSM？
否。在這個服務中，您會收到 HSM 的單一租用戶存取權。基礎硬體可與其他客戶共享，但只有您可以存取 HSM。
問：AWS 在沒有加密金鑰存取權限的情況下如何管理 HSM？
CloudHSM 在當初設計時就考慮到了責任分離和以角色為基礎的存取控制。AWS 對 HSM 的登入資料設有限制，這讓我們能夠監控和維護 HSM 的運作狀態和可用性，進行加密備份，以及將稽核日誌擷取並發佈至您的 CloudWatch Logs。AWS 無法存取 CloudHSM 叢集內的任何金鑰或資料，並且除 HSM 設備使用者允許的操作外，不能執行任何其他操作。
請參閱 CloudHSM User Guide，了解責任分離以及每個使用者類別在 HSM 擁有的功能。
問：我是否可監控 HSM？
是。CloudHSM 會針對 CloudHSM 叢集和個別 HSM 發佈多個 CloudWatch 指標。您可以使用 AWS CloudWatch 主控台、API 或軟體開發套件取得這些指標或發出警示。
問：什麼是 CloudHSM 的「熵來源」(隨機性來源)？
每個 HSM 都有一個經過 FIPS 驗證的決定性隨機位元產生器 (DRBG)，它是從符合 SP800-90B 標準的 HSM 硬體模組內的真實隨機數字產生器 (TRNG) 產生。這是一種高品質的熵來源，每秒可為每個 HSM 產生 20 Mb 的熵。
問：如果有人擅自竄改 HSM 硬體會怎樣？
CloudHSM 具備實體和邏輯竄改偵測及回應機制，能夠觸發硬體的金鑰刪除 (歸零化)。該硬體的設計可在實體屏障被突破時偵測竄改行為。HSM 還具備防止暴力登入攻擊的保護。嘗試使用加密主管 (CO) 登入資料存取 HSM 時，失敗超過固定次數之後，HSM 就會鎖住 CO。同樣地，嘗試使用加密使用者 (CU) 登入資料存取 HSM 時，失敗超過固定次數之後，將鎖住使用者，之後必須由 CO 解除鎖定。
問：萬一發生故障時會怎樣？
Amazon 會監控和維護 HSM 和網路的可用性和錯誤條件。如果 HSM 故障或網路連線中斷，將自動替換該 HSM。您可以使用 CloudHSM API、SDK 或 CLI 工具來檢查個別 HSM 的運作狀態，還可以使用 AWS 服務運作狀態儀表板隨時檢查服務的整體運作狀態。
問：如果單一 HSM 發生故障，是否會遺失金鑰？
如果您的 CloudHSM 叢集只有一個 HSM，是的，可能會遺失自最近每日備份以來建立的金鑰。如果具有兩個或多個 HSM 的 CloudHSM 叢集 (最好在單獨的可用區域中)，則在單一 HSM 發生故障時不會遺失金鑰。如需詳細資訊，請參閱我們的最佳實務。
問：如果我遺失 HSM 登入資料，Amazon 是否可以恢復我的金鑰？
Amazon 不能存取您的金鑰或登入資料，因此在您遺失登入資料時無法恢復您的金鑰。
問：如何確定自己可以信任 CloudHSM？
CloudHSM 建立在硬體上，已通過聯邦資訊處理標準 (FIPS) 140-2 第 3 級驗證。您可以在我們的合規頁面找到有關 CloudHSM 所使用硬體的 FIPS 140-2 安全性設定檔及其執行韌體的資訊。
問：CloudHSM 服務是否支援 FIPS 140-2 第 3 級？
是，CloudHSM 提供已通過 FIPS 140-2 第 3 級驗證的 HSM。您可以按照 CloudHSM 使用者指南中驗證叢集 HSM 的身分和真偽 (選用) 下的程序操作，確認您在上個問題所述的 NIST 安全政策中指定的相同型號硬體上有真實的 HSM。
問：如何在 FIPS 140-2 模式中操作 CloudHSM？
CloudHSM 永遠為 FIPS 140-2 模式。使用 CloudHSM User Guide 中所述的 CLI 工具並執行 getHsmInfo 命令 (可顯示 FIPS 模式狀態) 即可確認。
問：是否可取得在我的帳戶上已進行的所有 CloudHSM API 呼叫歷史記錄？
是。AWS CloudTrail 會記錄您的帳戶所發出的 AWS API 呼叫。CloudTrail 產生的 AWS API 呼叫歷史記錄可讓您執行安全分析、資源變更追蹤以及合規稽核。在 CloudTrail 首頁進一步了解有關 CloudTrail 的資訊，並透過 CloudTrail 的 AWS 管理主控台開啟此功能。
問：哪些事件不會記錄在 CloudTrail？
CloudTrail 不包含任何 HSM 裝置或存取日誌。這些資料會透過 CloudWatch Logs 直接提供給您的 AWS 帳戶。有關詳細資訊，請參閱 CloudHSM User Guide。
問：哪些 AWS 合規計劃包含 CloudHSM？
請參考 AWS 合規網站，了解哪些合規計劃涵蓋 CloudHSM 的詳細資訊。CloudHSM 和其他 AWS 服務不同，它通常透過硬體本身的 FIPS 140-2 第 3 級驗證直接滿足相關合規要求，而不是做為個別稽核計劃的一部分。
問：為什麼 FIPS 140-2 第 3 級很重要？
FIPS 140-2 第 3 級是特定使用案例的要求，包括文件簽署、付款，或是做為 SSL 憑證的公開憑證授權機構運作。
問：我該如何請求範圍內包含 CloudHSM 的合規報告？
若要查看 CloudHSM 的範圍內合規報告，請檢閱合規計劃的 AWS 服務範圍中的資料。若要建立免費的自助式隨需合規報告，請使用 AWS Artifact。
如果您僅對 CloudHSM 提供的 HSM 的 FIPS 驗證感興趣，請參閱 FIPS 驗證。
效能和容量
問：CloudHSM 每秒可執行多少個加密操作？
AWS CloudHSM 叢集的效能會因特定工作負載而異。下表顯示執行於 EC2 執行個體的常見加密演算法的大約效能。若要提高效能，您可以將其他 HSM 執行個體新增至叢集。效能可能會因 EC2 執行個體上的組態、資料大小和其他應用程式負載而異。我們鼓勵對您的應用程式進行負載測試，以判斷擴展需求。
| 營運 | 兩個 HSM 叢集 [1] | 三個 HSM 叢集 [2] | 六個 HSM 叢集 [3] |
| RSA 2048 位元簽名 | 每秒 2,000 次操作 | 每秒 3,000 次操作 | 每秒 5,000 次操作 |
| EC p256 簽名 | 每秒 500 次操作 | 每秒 750 次操作 | 每秒 1,500 次操作 |
如需詳細資訊，請參閱 AWS CloudHSM 使用者指南中的效能頁面。
[1]：兩個 HSM 叢集，其中 Java 多執行緒應用程式在一個 c4.large EC2 執行個體上執行，一個 HSM 位於與 EC2 執行個體相同的可用區域。
[2]：三個 HSM 叢集，其中 Java 多執行緒應用程式在一個 c4.large EC2 執行個體上執行，一個 HSM 位於與 EC2 執行個體相同的可用區域。
[3]：六個 HSM 叢集，其中 Java 多執行緒應用程式在一個 c4.large EC2 執行個體上執行，兩個 HSM 位於與 EC2 執行個體相同的可用區域。
問：CloudHSM 叢集上可以儲存多少個金鑰？
CloudHSM 叢集可存放約 3,300 個金鑰，類型或大小不限。
第三方整合
問：CloudHSM 是否支援 Amazon RDS Oracle TDE？
不能直接使用。您應使用 AWS Key Management Service 搭配自訂金鑰存放區，透過 AWS CloudHSM 叢集中產生和存放的金鑰保護 Amazon RDS 資料的安全。
問：是否可以將 CloudHSM 用作其他軟體的信任根？
多家第三方供應商支援將 AWS CloudHSM 作為信任根。這意味著您可以在建立底層金鑰並將其儲存在 CloudHSM 叢集中時，利用選擇的軟體解決方案。
AWS CloudHSM 用戶端、API 和軟體開發套件
問：什麼是 CloudHSM 用戶端？
CloudHSM 用戶端是 AWS 提供的軟體套件，可讓您和應用程式與 CloudHSM 叢集互動。
問：CloudHSM 用戶端是否允許 AWS 存取我的 CloudHSM 叢集？
否。用戶端和您 HSM 之間的所有通訊都會使用端對端加密。AWS 無法看到或攔截這些通訊，也無法取得您的叢集存取登入資料。
問：什麼是 CloudHSM 命令列界面 (CLI) 工具？
CloudHSM 用戶端隨附一套 CLI 工具，可讓您從命令列管理和使用 HSM。現在已支援 Linux 和 Microsoft Windows，Apple macOS 的支援則是我們未來的方向。這些工具可在 CloudHSM 用戶端相同的套件中取得。
問：如何下載並開始使用 CloudHSM 命令列界面工具？
相關指示請參閱 CloudHSM User Guide。
問：CloudHSM CLI 工具是否為 AWS 提供 HSM 內容的存取權？
否。CloudHSM 工具經由相互驗證的安全通道，透過 CloudHSM 用戶端直接與 CloudHSM 叢集通訊。AWS 無法觀察用戶端、工具與 HSM 之間的任何通訊，因為它經過端對端加密。
問：可以在哪些作業系統上使用 CloudHSM 用戶端和 CLI 工具？
我們的線上文件中提供了支援的作業系統完整清單。
問：使用 CloudHSM 命令列界面工具時有哪些網路連接要求？
執行 CloudHSM 用戶端和/或使用 CLI 工具所在的主機，必須能夠透過網路連接 CloudHSM 叢集中的所有 HSM。
問：CloudHSM API 和軟體開發套件可用來做什麼？
您可以建立、修改、刪除 CloudHSM 叢集和 HSM 以及取得它們的狀態。AWS CloudHSM API 可執行的操作受限於 AWS 受限存取權可執行的操作。API 無法存取 HSM 的內容，也不能修改任何使用者、政策或其他設定。要進一步了解，請參閱 CloudHSM 文件以了解關於 API 的資訊，或參閱 Amazon Web Services 工具頁面以了解軟體開發套件的詳細資訊。
從其他第三方 HSM 遷移至 CloudHSM
問：應如何規劃遷移至 AWS CloudHSM？
首先，確定 CloudHSM 支援您需要的演算法和模式。您的帳戶管理員可在需要時提交功能請求給我們。接下來，決定您的金鑰輪換策略。下一題問答將提供常用案例的建議。我們也已發佈了深入的 CloudHSM 遷移指南。您現在已經可以開始使用 CloudHSM。
問：如何輪換金鑰？
輪換策略依應用程式類型而有不同。以下是一些常見範例。
- 簽署用的私有金鑰：通常 HSM 上的私有金鑰對應到中繼憑證，而該憑證則是由離線企業根認證機構簽署。您透過發出新的中繼憑證來輪換金鑰。在 CloudHSM 上建立新的私有金鑰，然後使用 OpenSSL 產生對應的 CSR。接著，以相同的離線企業根認證機構簽署 CSR。您可能需要與無法自動驗證整個憑證鏈的所有合作夥伴註冊這個新的憑證。之後，使用對應到新憑證的新私有金鑰簽署所有新的請求 (例如，簽署文件、程式碼或其他憑證) 即可。您可以繼續使用對應的公有金鑰驗證來自原始私有金鑰的簽章。無須撤銷。這個程序與淘汰或存檔簽署金鑰的程序很類似。
- Oracle 透明資料加密：若要傳輸您的錢包，首先從硬體金鑰存放區 (您的原始 HSM) 切換到軟體金鑰存放區，然後再切換回硬體金鑰存放區 (CloudHSM)。注意：如果您在使用 Amazon RDS，請參閱上述常見問答集中的「CloudHSM 是否支援 Amazon RDS Oracle TDE？」
- 信封加密的對稱金鑰：信封加密是指使用 HSM 上的一個金鑰加密/解密應用程式主機上眾多資料金鑰的金鑰架構。您可能已經設置一個要完成的金鑰輪換程序，然後使用舊的封裝金鑰解密資料金鑰，並使用新的封裝金鑰再次加密資料金鑰。唯一的不同是，移轉期間建立的新封裝金鑰將用於 CloudHSM 而不是您的原始 HSM。如果您尚未設定金鑰輪換工具和程序，則需要建立一個。
問：如果無法輪換金鑰，該怎麼辦？
支援和維護
問：AWS CloudHSM 是否有排程的維護時段？
否，但在必須升級或硬體出現故障的情況下，AWS 可能需要進行維護。如果預計會產生任何影響，我們將竭盡全力透過 Personal Health Dashboard 提前通知您。
請注意，您有責任建構叢集以實現高可用性。AWS 強烈建議您在個別可用區域的兩個或多個 HSM 使用 CloudHSM 叢集。您可以瀏覽我們的線上文件，進一步了解有關推薦最佳實務的資訊。
問：我在使用 CloudHSM 時遇到問題。我該怎麼做？
您可以在我們的疑難排解指南中找到常見問題的解決方案。如果您仍然遇到問題，請聯絡 AWS Support。
