AWS CloudHSM 常見問答集

問：什麼是 AWS CloudHSM？

AWS CloudHSM 服務透過在 AWS 雲端中使用專用的硬體安全模組 (HSM) 執行個體，協助您滿足資料安全方面的企業、合約和法規遵循要求。AWS 和 AWS Marketplace 合作夥伴為保護 AWS 平台中的敏感資料提供了多種解決方案，但對於需符合管理加密金鑰方面嚴格的合約或法規要求的應用程式和資料，有時必須提供額外的保護。AWS CloudHSM 可補足現有的資料保護解決方案，並讓您在根據安全金鑰管理的政府標準所設計和驗證的 HSM 中保護您的加密金鑰。AWS CloudHSM 以只有您能存取金鑰的方式來讓您安全地產生、儲存和管理用於資料加密的加密金鑰。

問：什麼是硬體安全模組 (HSM)？

硬體安全模組 (HSM) 在防竄改的硬體裝置中提供安全的金鑰儲存和加密操作。HSM 旨在安全地存放加密金鑰材料及使用金鑰材料，而不使其暴露於硬體的加密邊界之外。

問：AWS CloudHSM 有什麼作用？

您可以使用 AWS CloudHSM 來支援各種使用案例和應用程式，例如，資料庫加密、數位版權管理 (DRM)、公開金鑰基礎設施 (PKI)、身份驗證和授權、文件簽署以及交易處理。如需詳細資訊，請參閱 AWS CloudHSM 使用案例。  

問：CloudHSM 如何運作？

若要使用 AWS CloudHSM 服務，請先建立 CloudHSM 叢集。叢集可包含一個區域中分散到多個可用區域 (AZ) 的多個 HSM。叢集中的 HSM 會自動同步並進行負載平衡。您可獲得叢集中每個 HSM 的專用、單一租用戶存取權，且每個 HSM 都會顯示為 Amazon Virtual Private Cloud (VPC) 中的網路資源。在叢集新增和移除 HSM 只需呼叫一次 AWS CloudHSM API (或使用 AWS CLI 透過命令列執行)。建立並初始化 CloudHSM 叢集之後，您可在 EC2 執行個體上設定用戶端，讓應用程式透過安全、經過驗證的網路連線使用叢集。AWS CloudHSM 會自動監控您的 HSM 的運作狀態，但任何 AWS 人員都無法存取您的金鑰或資料。您的應用程式使用標準的加密 API，並結合在應用程式執行個體上安裝的 HSM 用戶端軟體，以傳送加密請求到 HSM。用戶端軟體會維護一個連至叢集中所有 HSM 的安全通道，並在此通道傳送請求，而 HSM 執行操作後再透過安全通道傳回結果。然後，用戶端透過加密 API 將結果傳回應用程式。

問：目前我沒有 VPC。是否還可以使用 AWS CloudHSM？

否。為了保護您的叢集，並與其他 Amazon 客戶有所區隔，必須在 Amazon VPC 內部佈建 AWS CloudHSM。建立 VPC 很容易。有關詳細資訊，請參閱 VPC Getting Started Guide。

問：我的應用程式是否需要存在於與 CloudHSM 叢集相同的 VPC 中？

否，但您的應用程式和 HSM 用戶端執行所在的伺服器或執行個體必須能夠透過網路 (IP) 存取叢集內所有的 HSM。您可以用多種方式來建立應用程式到 HSM 的網路連接，其中包含使用相同的 VPC、使用 VPC 對等、使用 VPN 連接或使用 Direct Connect。如需了解詳細資訊，請參閱 VPC 對等互連指南和 VPC 使用者指南。

問：AWS CloudHSM 是否能與內部部署 HSM 搭配使用？

是。儘管 AWS CloudHSM 無法直接與內部部署 HSM 搭配使用，但您可安全地使用數種支援的 RSA 金鑰封裝方法，以在 AWS CloudHSM 和大多數商業 HSM 間傳輸可匯出的金鑰。  

問：我的應用程式該如何使用 AWS CloudHSM？

我們已經將 AWS CloudHSM 與一些第三方軟體解決方案進行整合和測試 (如 Oracle Database 19c) 和 Web 服務 (包括適用於 SSL 卸載的 Apache 和 Nginx，以及將 Windows Server 設定為 CA)。如需詳細資訊，請參閱 AWS CloudHSM 使用者指南。

若您要開發自己的自訂應用程式，該應用程式可以使用 AWS CloudHSM 支援的標準 API，包含 PKCS#11 和 Java JCE (Java Cryptography Extensions)、OpenSSL Dynamic Engine 或 Microsoft KSP/CNG。請參閱 AWS CloudHSM 使用者指南以取得程式碼範例和入門協助。問：我是否可以使用 AWS CloudHSM 儲存其他 AWS 服務所使用的金鑰或加密資料？

是。您可以在與 AWS CloudHSM 整合的應用程式執行所有加密。在這種情況下，AWS 服務 (如 Amazon S3 和 Amazon Elastic Block Store (EBS)) 只會看到您的資料已加密。

問：其他 AWS 服務是否可以使用 AWS CloudHSM 存放和管理金鑰？

AWS 服務與 AWS Key Management Service 整合，因此也會透過 KMS 自訂金鑰存放區功能與 AWS CloudHSM 整合。若您想使用多數 AWS 服務 (如 EBS、S3 或 Amazon RDS) 提供的伺服器端加密技術，您可以在 AWS KMS 設定自訂金鑰存放區執行此動作。

問：AWS CloudHSM 是否可以用來執行個人識別碼 (PIN) 區塊轉譯或其他在扣款支付交易中使用的加密操作？

AWS CloudHSM 目前提供一般用途 HSM。AWS Payment Cryptography 提供雲端託管付款應用程式中的密碼編譯操作。我們未來可能會提供付款功能。如果您對此感興趣，請聯絡我們。

問：如何開始使用 AWS CloudHSM？

您可在 AWS CloudHSM 主控台佈建 CloudHSM 叢集，也可以透過 AWS 開發套件或 API 執行幾個 API 呼叫進行佈建。若要進一步了解入門資訊，請參閱 AWS CloudHSM 使用者指南。如需有關 AWS CloudHSM API 的資訊，請參閱 AWS CloudHSM 文件頁面。

問：如何終止 AWS CloudHSM 服務？

您可以使用 AWS CloudHSM API 主控台或軟體開發套件刪除 HSM 及停止使用服務。有關進一步指示，請參閱 AWS CloudHSM 使用者指南。

問：使用 AWS CloudHSM 服務如何計價和收費？

我們會根據 HSM 佈建到 AWS CloudHSM 叢集的每個小時 (或不足 1 小時) 按小時費率向您收費。不含 HSM 的叢集不會計費，我們自動儲存的加密備份也不會收費。如需詳細資訊，請瀏覽 AWS CloudHSM 定價頁面。請注意，往來 HSM 的網路資料傳輸會分開計費。如需詳細資訊，請參閱 EC2 的資料傳輸定價。

問：CloudHSM 服務是否提供免費方案？

否，AWS CloudHSM 不提供免費方案。

問：費用是否會依 HSM 上建立的使用者或金鑰數量而有不同？

否，小時費用雖然每個區域都不同，但不會依 HSM 用量而有不同。

問：是否提供 AWS CloudHSM 的預留執行個體定價？

不，我們不提供 AWS CloudHSM 的預留執行個體定價。

問：使用 AWS CloudHSM 是否有先決條件？

是。若要開始使用 AWS CloudHSM，需要一些先決條件，包括您想要使用 AWS CloudHSM 服務的區域中的 Virtual Private Cloud (VPC)。如需了解詳細資訊，請參閱 AWS CloudHSM 使用者指南。

問：是否需要管理自己 HSM 上的韌體？

否。AWS 會管理硬體上的韌體。韌體由第三方維護，而且每個韌體都必須由 NIST 針對 FIPS 140-2 第 3 級合規進行評估。只能安裝由 FIPS 金鑰 (AWS 沒有存取權) 以密碼編譯方式簽署的韌體。

問：CloudHSM 叢集中應該有多少個 HSM？

針對任何生產工作負載，AWS 強烈建議在兩個不同可用區域至少使用兩個 HSM。如果是任務關鍵工作負載，我們建議至少在兩個個別的可用區域至少使用三個 HSM。CloudHSM 用戶端將採用對應用程式而言透明的方式自動處理任何 HSM 故障，並在兩個或多個 HSM 之間進行負載平衡。

問：誰負責金鑰的耐久性？

AWS 每天都會對您的 CloudHSM 叢集執行自動加密備份。當發生叢集生命週期事件時 (如新增或移除 HSM)，AWS 會執行額外備份。在每次備份之間的 24 小時期間建立或匯入叢集的金鑰材料耐久性，則由您負完全責任。我們強烈建議務必將建立的任何金鑰同步到兩個不同可用區域的至少兩個 HSM，以確保金鑰的耐久性。請參閱 AWS CloudHSM 使用者指南，了解驗證金鑰同步的詳細資訊。

問：如何設定高可用性 (HA) 組態？

CloudHSM 叢集中至少有兩個 HSM 分散到兩個可用區域時，可自動提供高可用性。無需其他額外的組態。如果叢集中的一個 HSM 故障，就會被自動取代，而且所有用戶端都會更新以反映新組態，無須中斷任何處理。透過 AWS API 或軟體開發套件可將額外的 HSM 新增到叢集以提高可用性，無須中斷應用程式。

問：CloudHSM 叢集中可包含多少個 HSM？

單一 CloudHSM 叢集最多可包含 28 個 HSM，但須遵循帳戶服務限制。請瀏覽我們的線上文件，進一步了解有關服務限制以及如何請求提高限制的資訊。

問：是否可以備份 CloudHSM 叢集的內容？

AWS 每天都會備份 CloudHSM 叢集。此外，只要產生的金鑰不是「不可匯出」，就可以將金鑰匯出 (「包裝」) 叢集並存放在內部部署。

問：是否有適用於 AWS CloudHSM 的 SLA？

是，您可以在這裡找到適用於 AWS CloudHSM 的服務水準協議 (SLA)。

問：我是否與其他 AWS 客戶共用 AWS CloudHSM 資源？

否。在這個服務中，您會收到 HSM 的單一租用戶存取權。基礎硬體可與其他客戶共享，但只有您可以存取 HSM。

問：AWS 在沒有加密金鑰存取權限的情況下如何管理 HSM？

AWS CloudHSM 在當初設計時就考慮到了責任分離和以角色為基礎的存取控制。AWS 對 HSM 的憑證設有限制，這讓我們能夠監控和維護 HSM 的運作狀態和可用性，進行加密備份，以及將稽核日誌擷取並發佈至您的 CloudWatch Logs。AWS 無法存取 CloudHSM 叢集內的任何金鑰或資料，並且除 HSM 設備使用者允許的操作外，不能執行任何其他操作。

請參閱 AWS CloudHSM 使用者指南，了解責任分離以及每個使用者類別在 HSM 擁有的功能。

問：我是否可監控 HSM？

是。AWS CloudHSM 會針對 CloudHSM 叢集和個別 HSM 發佈多個 Amazon CloudWatch 指標。您可以使用 Amazon CloudWatch 主控台、API 或 SDK 取得這些指標或發出警示。

問：什麼是 AWS CloudHSM 的「熵來源」(隨機性來源)？

每個 HSM 都有一個經過 FIPS 驗證的決定性隨機位元產生器 (DRBG)，它是從符合 SP800-90B 標準的 HSM 硬體模組內的真實隨機數字產生器 (TRNG) 產生。

問：如果有人擅自竄改 HSM 硬體會怎樣？

AWS CloudHSM 具備實體和邏輯竄改偵測及回應機制，能夠觸發硬體的金鑰刪除 (歸零化)。該硬體的設計可在實體屏障被突破時偵測竄改行為。HSM 還具備防止暴力登入攻擊的保護。嘗試使用管理員或加密管理員 (CO) 憑證存取 HSM 時，失敗嘗試次數超過固定次數之後，HSM 就會鎖住管理員/CO。同樣地，嘗試使用加密使用者 (CU) 憑證存取 HSM 時，失敗超過固定次數之後，將鎖住使用者，之後必須由 CO 或管理員解除鎖定。

問：萬一發生故障時會怎樣？

Amazon 會監控和維護 HSM 和網路的可用性和錯誤條件。如果 HSM 故障或網路連線中斷，將自動替換該 HSM。您可以使用 AWS CloudHSM 的 API、SDK 或 CLI 工具來檢查個別 HSM 的運作狀態，還可以使用 AWS 服務運作狀態儀表板隨時檢查服務的整體運作狀態。

問：如果單一 HSM 發生故障，是否會遺失金鑰？

如果您的 AWS CloudHSM 叢集只有一個 HSM，是的，可能會遺失自最近每日備份以來建立的金鑰。如果具有兩個或多個 HSM 的 AWS CloudHSM 叢集 (最好在單獨的可用區域中)，則在單一 HSM 發生故障時不會遺失金鑰。如需詳細資訊，請參閱我們的最佳實務。

問：如果我遺失 HSM 登入資料，Amazon 是否可以恢復我的金鑰？

Amazon 不能存取您的金鑰或憑證，因此在您遺失登入資料時無法恢復您的金鑰。

問：如何確定自己可以信任 AWS CloudHSM？

AWS CloudHSM 建立在硬體上，已通過聯邦資訊處理標準 (FIPS) 140-2 第 3 級驗證。您可以在我們的合規頁面找到有關 CloudHSM 所使用硬體的 FIPS 140-2 安全性設定檔及其執行韌體的資訊。

問：AWS CloudHSM 服務是否支援 FIPS 140-2 第 3 級？

是，CloudHSM 提供已通過 FIPS 140-2 第 3 級驗證的 HSM。您可以按照 CloudHSM 使用者指南中驗證叢集 HSM 的身分和真偽 (選用) 下的程序操作，確認您在上個問題所述的 NIST 安全政策中指定的相同型號硬體上有真實的 HSM。

問：如何在 FIPS 140-2 模式中操作 AWS CloudHSM？

AWS CloudHSM 永遠為 FIPS 140-2 模式。使用 CloudHSM 使用者指南中所述的 CLI 工具並執行 getHsmInfo 命令 (可顯示 FIPS 模式狀態) 即可確認。

問：是否可取得在我的帳戶上已進行的所有 AWS CloudHSM API 呼叫歷史記錄？

是。AWS CloudTrail 會記錄您的帳戶所發出的 AWS API 呼叫。AWS CloudTrail 產生的 AWS API 呼叫歷史記錄可讓您執行安全分析、資源變更追蹤以及合規稽核。在 CloudHSM 首頁進一步了解有關 AWS CloudTrail 的資訊，並透過 CloudTrail 的 AWS 管理主控台開啟此功能。

問：哪些事件不會記錄在 AWS CloudTrail？

AWS CloudTrail 不包含任何 HSM 裝置或存取日誌。這些資料會透過 AWS CloudWatch Logs 直接提供給您的 AWS 帳戶。有關詳細資訊，請參閱 AWS CloudHSM 使用者指南。

問：哪些 AWS 合規計劃包含 AWS CloudHSM？

請參考 AWS 合規網站，了解哪些合規計劃涵蓋 CloudHSM 的詳細資訊。AWS CloudHSM 與其他 AWS 服務不同，它通常透過硬體本身的 FIPS 140-2 第 3 級驗證直接滿足相關合規要求，而不是做為個別稽核計劃的一部分。

問：為什麼 FIPS 140-2 第 3 級很重要？

FIPS 140-2 第 3 級是特定使用案例的要求，包括文件簽署、付款，或是做為 SSL 憑證的公開憑證授權機構運作。

問：我該如何請求範圍內包含 AWS CloudHSM 的合規報告？

若要查看 AWS CloudHSM 的範圍內合規報告，請檢閱合規計劃的 AWS 服務範圍中的資料。若要建立免費的自助式隨需合規報告，請使用 AWS Artifact。

如果您僅對 AWS CloudHSM 提供的 HSM 的 FIPS 驗證感興趣，請參閱 FIPS 驗證。

問：CloudHSM 每秒可執行多少個加密操作？

效能可能會因 EC2 執行個體上的組態、資料大小和其他應用程式負載而異。若要提高效能，您可以將其他 HSM 執行個體新增至叢集。我們鼓勵對您的應用程式進行負載測試，以判斷擴展需求。

如需詳細資訊，請參閱 AWS CloudHSM 使用者指南中的效能頁面。

問：CloudHSM 叢集中可存放多少個金鑰？

如需關鍵儲存和叢集容量的詳細資訊，請參閱 AWS CloudHSM 配額。

問：AWS CloudHSM 是否支援 Amazon RDS Oracle TDE？

不能直接使用。您應使用 AWS Key Management Service 搭配自訂金鑰存放區，透過 CloudHSM 叢集中產生和存放的金鑰保護 Amazon RDS 資料的安全。

問：是否可以將 AWS CloudHSM 用作其他軟體的信任根？

多家第三方供應商支援將 AWS CloudHSM 作為信任根。這意味著您可以在建立底層金鑰並將其儲存在 CloudHSM 叢集中時，利用選擇的軟體解決方案。

問：什麼是 AWS CloudHSM Client Library？

AWS CloudHSM Client Library 是 AWS 提供的軟體套件，可讓您和應用程式與 CloudHSM 叢集互動。

問：CloudHSM Client Library 是否允許 AWS 存取我的 CloudHSM 叢集？

否。用戶端和您 HSM 之間的所有通訊都會使用端對端加密。AWS 無法看到或攔截這些通訊，也無法取得您的叢集存取憑證。

問：什麼是 CloudHSM 命令列介面 (CLI) 工具？

CloudHSM Client Library 隨附一套 CLI 工具，可讓您從命令列管理和使用 HSM。現在已支援 Linux 和 Microsoft Windows，Apple macOS 的支援則是我們未來的方向。這些工具可在與 AWS CloudHSM Client Library 相同的套件中取得。

問：如何下載並開始使用 AWS CloudHSM 命令列介面工具？

相關指示請參閱 CloudHSM User Guide。

問：CloudHSM CLI 工具是否為 AWS 提供 HSM 內容的存取權？

否。CloudHSM 工具經由相互驗證的安全通道，透過 CloudHSM Client Library 直接與 CloudHSM 叢集通訊。AWS 無法觀察用戶端、工具與 HSM 之間的任何通訊。其採用端對端加密。

問：可以在哪些作業系統上使用 CloudHSM Client Libary 和 CLI 工具？

我們的線上文件中提供了支援的作業系統完整清單。

問：使用 CloudHSM 命令列介面工具時有哪些網路連接要求？

執行 CloudHSM Client Library 及/或使用 CLI 工具所在的主機，必須能夠透過網路連接 CloudHSM 叢集中的所有 HSM。

問：AWS CloudHSM API 和軟體開發套件可用來做什麼？

您可以建立、修改、刪除 CloudHSM 叢集和 HSM 以及取得它們的狀態。AWS CloudHSM API 可執行的操作受限於 AWS 受限存取權可執行的操作。API 無法存取 HSM 的內容，也不能修改任何使用者、政策或其他設定。要進一步了解，請參閱 CloudHSM 文件以了解關於 API 的資訊，或參閱 Amazon Web Services 工具頁面以了解軟體開發套件的詳細資訊。

問：應如何規劃遷移至 AWS CloudHSM？

首先，確定 AWS CloudHSM 支援您需要的演算法和模式。您的帳戶管理員可在需要時提交功能請求給我們。接下來，決定您的金鑰輪換策略。我們也已發佈了深入的 AWS CloudHSM 遷移指南。您現在已經可以開始使用 AWS CloudHSM。

問：如何輪換金鑰？

輪換策略依應用程式類型而有不同。以下是一些常見範例。

• 簽署用的私有金鑰：通常 HSM 上的私有金鑰對應到中繼憑證，而該憑證則是由離線企業根認證機構簽署。您透過發出新的中繼憑證來輪換金鑰。在 AWS CloudHSM 上建立新的私有金鑰，然後使用 OpenSSL 產生對應的 CSR。接著，以相同的離線企業根認證機構簽署 CSR。您可能需要與無法自動驗證整個憑證鏈的所有合作夥伴註冊這個新的憑證。之後，使用對應到新憑證的新私有金鑰簽署所有新的請求 (例如，簽署文件、程式碼或其他憑證) 即可。您可以繼續使用對應的公有金鑰驗證來自原始私有金鑰的簽章。無須撤銷。這個程序與淘汰或存檔簽署金鑰的程序很類似。
• Oracle 透明資料加密：若要傳輸您的錢包，首先從硬體金鑰存放區 (您的原始 HSM) 切換到軟體金鑰存放區，然後再切換回硬體金鑰存放區 (AWS CloudHSM)。注意：如果您在使用 Amazon RDS，請參閱上述常見問答集中的「AWS CloudHSM 是否支援 Amazon RDS Oracle TDE？」
  
• 封套加密的對稱金鑰：封套加密是指使用 HSM 上的一個金鑰加密/解密應用程式主機上眾多資料金鑰的金鑰架構。您可能已經設置一個要完成的金鑰輪換程序，然後使用舊的封裝金鑰解密資料金鑰，並使用新的封裝金鑰再次加密資料金鑰。唯一的不同是，移轉期間建立的新封裝金鑰將用於 AWS CloudHSM 而不是您的原始 HSM。如果您尚未設定金鑰輪換工具和程序，則需要建立一個。

問：如果無法輪換金鑰，該怎麼辦？

問：AWS CloudHSM 是否有排程的維護時段？

否，但在必須升級或硬體出現故障的情況下，AWS 可能需要進行維護。如果預計會產生任何影響，我們將竭盡全力使用 Personal Health Dashboard 提前通知您。

請注意，您有責任建構叢集以實現高可用性。AWS 強烈建議您在個別可用區域的兩個或多個 HSM 使用 CloudHSM 叢集。您可以瀏覽我們的線上文件，進一步了解有關推薦最佳實務的資訊。

問：我在使用 AWS CloudHSM 時遇到問題。我該怎麼做？

您可以在我們的疑難排解指南中找到常見問題的解決方案。如果您仍然遇到問題，請聯絡 AWS Support。