Synchronizace uživatelů a klíčů mezi uzly cloudových HSM Azure

Tento článek vysvětluje, jak identifikovat a vyřešit problémy se synchronizací, když uživatelé nebo klíče chybí v jednom nebo více uzlech ve vašem clusteru Azure Cloud HSM.

Přehled

V některých případech se uživatelé nebo klíče nemusí replikovat do všech uzlů ve vašem clusteru Azure Cloud HSM. K tomu může dojít během událostí služby, jako jsou samoopravení nebo upgrady, nebo při selhání vytváření na jednom nebo více uzlech. Pokud dochází k přerušovaným selháním ověřování nebo chybám kryptografických operací, možná budete mít uživatele nebo klíče, které je potřeba synchronizovat.

Důležité

Uživatel nebo klíč, který existuje pouze na jednom uzlu, je ohrožen trvalou a neopravitelnou ztrátou, pokud tento uzel selže. Pokud identifikujete chybějící uživatele nebo klíče, synchronizujte je okamžitě a ujistěte se, že máte aktuální zálohy.

Předpoklady

  • Access k virtuálnímu počítači s nainstalovanou sadou AZURE Cloud HSM SDK
  • Nástroj azcloudhsm_mgmt_util
  • Přihlašovací údaje kryptografického důstojníka (CO) pro nasazení Azure Cloud HSM

Synchronizace uživatelů

Všichni uživatelé v Azure Cloud HSM jsou plně spravováni zákazníkem. Služba neprovádí synchronizaci back-endových uživatelů, pokud se vytvoření uživatele nezdaří. Pokud vytváření uživatelů selže na jednom nebo více uzlech, musíte ho ručně synchronizovat s chybějícími uzly.

Důležité

Ujistěte se, že se všichni uživatelé konzistentně vytvářejí a prezentují v každém uzlu v clusteru. Pokud uživatel chybí nebo se nepodaří vytvořit na libovolném uzlu, musíte provést požadované příkazy a provést ověřovací kroky pro obnovení konzistence.

Identifikace chybějících uživatelů

  1. Spusťte nástroj pro správu:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. Spuštěním listUsers příkazu zobrazte ID uživatele, typ uživatele a uživatelské jméno pod každým uzlem (server 0, 1, 2):

    listUsers

  3. Sledujte počet uživatelů nalezených pro každý uzel a odpovídající uživatelská jména. Porovnejte seznamy na všech třech serverech a identifikujte všechny chybějící uživatele.

Synchronizace chybějících uživatelů

  1. Přihlaste se jako kryptografický důstojník (CO):

    loginHSM CO admin <admin-password>

    Ověřte, že jste se úspěšně přihlásili ke všem třem uzlům:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

    Poznámka:

    Pokud přihlášení selže na libovolném uzlu, operace synchronizace může selhat. Než budete pokračovat, ujistěte se, že se úspěšně přihlásíte ke všem uzlům.

  2. Identifikujte zdrojový uzel, který má uživatele. V tomto příkladu má server 0 uživatele, který není k dispozici na serveru 1 a serveru 2:

    server 0

  3. syncUser Spusťte příkaz pro každý server, ve kterém chybí uživatel. Nahraďte <user-id> skutečným ID uživatele:

    syncUser <user-id> 1
syncUser <user-id> 2

    Poznámka:

    Pokud syncUser se spustí na uzlu, ve kterém již uživatel existuje, zobrazí se chybová zpráva "uživatel již vytvořený, nelze vložit objekt". Pokud uživatel neexistuje, operace bude úspěšná.

Ověření synchronizace uživatelů

  1. Ukončete aktuální prostředí serveru

    exit

  2. Spusťte, listUsers abyste potvrdili, že jsou všechna ID uživatelů, typy uživatelů a uživatelská jména teď stejná a dostupná v každém uzlu (server 0, 1, 2):

    listUsers

Synchronizace klíčů

Když vytváříte klíče, je vaší zodpovědností zajistit, aby se klíče vyskytovaly na všech uzlech. I když Azure Cloud HSM podporuje operace synchronizace a obnovení klíčů na straně služby, musíte před použitím ověřit, jestli jsou klíče dostupné na všech chybějících uzlech.

Důležité

Pokud klíč chybí nebo vytvoření selže na libovolném uzlu, musíte provést příslušné příkazy a provést ověřovací kroky pro obnovení konzistence. Klíč, který existuje pouze na jednom uzlu, je ohrožen trvalou ztrátou, pokud tento uzel selže.

Identifikace chybějících klíčů

  1. Spusťte nástroj pro správu:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. Přihlaste se jako kryptografický důstojník (CO):

    loginHSM CO admin <admin-password>

    Ověřte, že jste se úspěšně přihlásili ke všem třem uzlům:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

  3. Spuštěním findAllKeys příkazu zobrazte počet klíčů a ID popisovačů klíčů v jednotlivých uzlech:

    findAllKeys 0 0

  4. Sledujte počet nalezených klíčů pro každý uzel a odpovídající ID popisovačů klíčů. Porovnejte výsledky všech tří serverů a identifikujte chybějící klíče.

Synchronizace chybějících klíčů

  1. Identifikujte zdrojový uzel, který má klíč. V tomto příkladu má server 0 klíčový popisovač, který není k dispozici na serveru 1 a 2.

    server 0

  2. syncKey Spusťte příkaz pro každý server, ve kterém chybí klíč. Nahraďte <key-handle> skutečným ID popisovače klíče:

    syncKey <key-handle> 1
syncKey <key-handle> 2

    Pokud například chcete synchronizovat popisovač klíče 262150 na servery 1 a 2:

    syncKey 262150 1
syncKey 262150 2

Ověření synchronizace klíčů

  1. Ukončete aktuální prostředí serveru

    exit

  2. Spusťte findAllKeys 0 0 abyste potvrdili, že všechny popisovače klíčů a počet nalezených klíčů jsou nyní stejné a dostupné pod každým z uzlů (server 0, 1, 2):

    findAllKeys 0 0

Osvědčené postupy

Jak zabránit problémům se synchronizací a potenciální ztrátě dat:

  • Ověření po vytvoření: Po vytvoření libovolného uživatele nebo klíče okamžitě ověřte, že existuje na všech třech uzlech.
  • Udržujte pravidelné zálohy: Pomocí funkce zálohování a obnovení můžete chránit před selháními uzlů.
  • Monitorování nesrovnalostí: Pravidelně se spouští listUsers a findAllKeys 0 0 kontroluje nekonzistence napříč uzly.
  • Rychle reagovat na selhání: Pokud si všimnete selhání vytvoření uživatele nebo klíče, synchronizujte ho s chybějícími uzly předtím, než dojde k selhání uzlu.

Související obsah

  • Poslední aktualizace v