AWS CloudHSMを起動してみました

2021/07/30 2021/07/30

なかなか触る機会のないサービス、CloudHSM。
起動してみました。

手順はユーザーガイドAWS CloudHSM の使用開始を参照しました。

CloudHSMクラスターの作成

[クラスターの作成]からスタートしました。

VPCとAZを指定しました。
本番では複数のAZを指定するべきですが、今回はお試しなので1つだけ。

バックアップは消すからなんでもいいのですが、一応最低の7日にしました。

作成中になりました。

クライアントEC2の起動

HSMクライアント用のEC2インスタンスを起動しました。
IAMロールにSSMManagedInstanceCoreを設定しているので、キーペアなし、セキュリティグループはVPCのデフォルトにしました。

CloudHSMによってセキュリティグループができましたので、それをEC2インスタンスに追加しました。
セキュリティグループはインバウンド、アウトバウンドともに自分自身がソースで、ポートは2223-2225が許可されていました。

AWS CloudHSM クライアントとコマンドラインツールのインストール

EC2にセッションマネージャで接続して実行しました。

$ cd
$ wget https://s3.amazonaws.com/cloudhsmv2-software/CloudHsmClient/EL6/cloudhsm-client-latest.el6.x86_64.rpm
$ sudo yum install ./cloudhsm-client-latest.el6.x86_64.rpm

$ cd

$ wget https://s3.amazonaws.com/cloudhsmv2-software/CloudHsmClient/EL6/cloudhsm-client-latest.el6.x86_64.rpm

$ sudo yum install ./cloudhsm-client-latest.el6.x86_64.rpm

HSM作成

CloudHSMクラスターがとりあえずできたみたいなので、選択して[アクション]-[初期化]を選択しました。

最初のHSMを作成するAZを指定しました。

指定したサブネットのENIが作成されました。

クラスターの初期化

4つの証明書ダウンロードリンクから全部ダウンロードしました。

ローカルのmacOSでプライベートキーを作成しました。

$ openssl genrsa -aes256 -out customerCA.key 2048

1 2	$ openssl genrsa -aes256 -out customerCA.key 2048

自己証明書の作成

$ openssl req -new -x509 -days 3652 -key customerCA.key -out customerCA.crt

Enter pass phrase for customerCA.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:JP
State or Province Name (full name) []:Some-State
Locality Name (eg, city) []:
Organization Name (eg, company) []:Yamamugi
Organizational Unit Name (eg, section) []:
Common Name (eg, fully qualified host name) []:
Email Address []:

$ openssl req -new -x509 -days 3652 -key customerCA.key -out customerCA.crt

Enter pass phrase for customerCA.key:

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) []:JP

State or Province Name (full name) []:Some-State

Locality Name (eg, city) []:

Organization Name (eg, company) []:Yamamugi

Organizational Unit Name (eg, section) []:

Common Name (eg, fully qualified host name) []:

Email Address []:

クラスターのCSRに署名

$ openssl x509 -req -days 3652 -in cluster-n4lndvgamwo_ClusterCsr.csr \
                              -CA customerCA.crt \
                              -CAkey customerCA.key \
                              -CAcreateserial \
                              -out cluster-n4lndvgamwo_CustomerHsmCertificate.crt

$ openssl x509 -req -days 3652 -in cluster-n4lndvgamwo_ClusterCsr.csr \

-CA customerCA.crt \

-CAkey customerCA.key \

-CAcreateserial \

-out cluster-n4lndvgamwo_CustomerHsmCertificate.crt

指定どおりアップロードして、[アップロードと初期化]を実行しました。

クラスターの初期化とアクティブ化

customerCA.crtを/opt/cloudhsm/etc/customerCA.crtにコピーしなければ、なので、適切なS3バケットにアップロードしてEC2からダウンロード。

コピー終了後次のコマンドを実行しました。
172.31.14.232はHSMのIPアドレスです。

$ sudo /opt/cloudhsm/bin/configure -a 172.31.14.232
Updating server config in /opt/cloudhsm/etc/cloudhsm_client.cfg
Updating server config in /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg

$ sudo /opt/cloudhsm/bin/configure -a 172.31.14.232

Updating server config in /opt/cloudhsm/etc/cloudhsm_client.cfg

Updating server config in /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg

アクティブ化は次のコマンドを実行しました。

$ /opt/cloudhsm/bin/cloudhsm_mgmt_util /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg
Ignoring E2E enable flag in the configuration file

Connecting to the server(s), it may take time
depending on the server(s) load, please wait...

Connecting to server '172.31.14.232': hostname '172.31.14.232', port 2225...
Connected to server '172.31.14.232': hostname '172.31.14.232', port 2225.
E2E enabled on server 0(172.31.14.232)
aws-cloudhsm>

$ /opt/cloudhsm/bin/cloudhsm_mgmt_util /opt/cloudhsm/etc/cloudhsm_mgmt_util.cfg

Ignoring E2E enable flag in the configuration file

Connecting to the server(s), it may take time

depending on the server(s) load, please wait...

Connecting to server '172.31.14.232': hostname '172.31.14.232', port 2225...

Connected to server '172.31.14.232': hostname '172.31.14.232', port 2225.

E2E enabled on server 0(172.31.14.232)

aws-cloudhsm>

listUsersコマンドを実行してみました。

aws-cloudhsm>listUsers
Users on server 0(172.31.14.232):
Number of users found:2

    User Id             User Type       User Name                          MofnPubKey    LoginFailureCnt2FA
         1              PRECO           admin                                    NO               0 NO
         2              AU              app_user                                 NO               0 NO

aws-cloudhsm>listUsers

Users on server 0(172.31.14.232):

Number of users found:2

User Id User Type User Name MofnPubKey LoginFailureCnt2FA

1 PRECO admin NO 0 NO

2 AU app_user NO 0 NO

PRECO ユーザーとして HSM にログインしました。

aws-cloudhsm>loginHSM PRECO admin password
loginHSM success on server 0(172.31.14.232)

aws-cloudhsm>loginHSM PRECO admin password

loginHSM success on server 0(172.31.14.232)

パスワードを変更しました。

aws-cloudhsm>changePswd PRECO admin password
*************************CAUTION********************************
This is a CRITICAL operation, should be done on all nodes in the
cluster. AWS does NOT synchronize these changes automatically with the
nodes on which this operation is not executed or failed, please
ensure this operation is executed on all nodes in the cluster.
****************************************************************

Do you want to continue(y/n)?y
Changing password for admin(PRECO) on 1 nodes
changePswd success on server 0(172.31.14.232)

aws-cloudhsm>changePswd PRECO admin password

*************************CAUTION********************************

This is a CRITICAL operation, should be done on all nodes in the

cluster. AWS does NOT synchronize these changes automatically with the

nodes on which this operation is not executed or failed, please

ensure this operation is executed on all nodes in the cluster.

****************************************************************

Do you want to continue(y/n)?y

Changing password for admin(PRECO) on 1 nodes

changePswd success on server 0(172.31.14.232)

User TypeがPRECOからCOに変わりました。

aws-cloudhsm>listUsers
Users on server 0(172.31.14.232):
Number of users found:2

    User Id             User Type       User Name                          MofnPubKey    LoginFailureCnt2FA
         1              CO              admin                                    NO               0 NO
         2              AU              app_user                                 NO               0 NO