Menyinkronkan pengguna dan kunci di seluruh simpul Cloud HSM Azure

Artikel ini menjelaskan cara mengidentifikasi dan mengatasi masalah sinkronisasi saat pengguna atau kunci hilang dari satu atau beberapa simpul di kluster HSM Cloud Azure Anda.

Ikhtisar

Dalam beberapa kasus, pengguna atau kunci mungkin tidak direplikasi ke semua simpul di kluster Azure Cloud HSM Anda. Ini dapat terjadi selama acara layanan seperti pemulihan mandiri atau pembaruan, atau jika pembuatan gagal pada satu atau beberapa node. Jika Anda mengalami kegagalan autentikasi terputus-terputus atau kesalahan operasi kriptografi, Anda mungkin memiliki pengguna atau kunci yang perlu disinkronkan.

Penting

Pengguna atau kunci yang ada hanya pada satu simpul berisiko kehilangan permanen dan tidak dapat dipulihkan jika node tersebut gagal. Jika Anda mengidentifikasi pengguna atau kunci yang hilang, sinkronkan segera dan pastikan Anda memiliki cadangan saat ini.

Prasyarat

  • Access ke VM dengan Azure Cloud HSM SDK terinstal
  • Alat azcloudhsm_mgmt_util
  • Kredensial petugas kriptografi (CO) untuk penyebaran HSM Azure Cloud Anda

Sinkronisasi pengguna

Semua pengguna di Azure Cloud HSM dikelola sepenuhnya oleh pelanggan. Layanan tidak melakukan sinkronisasi pengguna backend jika pembuatan pengguna gagal. Jika pembuatan pengguna gagal pada satu atau beberapa simpul, Anda harus menyinkronkan pengguna secara manual ke simpul yang hilang.

Penting

Pastikan bahwa semua pengguna secara konsisten dibuat dan ada di setiap node dalam kluster. Jika pengguna hilang atau pembuatan gagal pada simpul apa pun, Anda harus menjalankan perintah yang diperlukan dan melakukan langkah-langkah validasi untuk memulihkan konsistensi.

Mengidentifikasi pengguna yang hilang

  1. Mulai utilitas manajemen:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. Jalankan listUsers perintah untuk menampilkan ID Pengguna, Jenis Pengguna, dan Nama Pengguna di bawah setiap simpul (server 0, 1, 2):

    listUsers

  3. Amati jumlah pengguna yang ditemukan untuk setiap simpul dan nama pengguna yang sesuai. Bandingkan daftar di ketiga server untuk mengidentifikasi pengguna yang hilang.

Menyinkronkan pengguna yang hilang

  1. Masuk sebagai petugas kriptografi (CO):

    loginHSM CO admin <admin-password>

    Verifikasi bahwa Anda berhasil masuk ke ketiga simpul:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

    Nota

    Jika proses masuk gagal pada simpul apa pun, operasi sinkronisasi mungkin gagal. Pastikan berhasil masuk ke semua simpul sebelum melanjutkan.

  2. Identifikasi simpul sumber yang memiliki pengguna. Dalam contoh ini, server 0 memiliki pengguna yang tidak tersedia di server 1 dan server 2:

    server 0

  3. Jalankan syncUser perintah untuk setiap server tempat pengguna hilang. Ganti <user-id> dengan ID Pengguna yang sebenarnya:

    syncUser <user-id> 1
syncUser <user-id> 2

    Nota

    Jika syncUser dijalankan terhadap simpul di mana pengguna sudah ada, pesan kesalahan "pengguna sudah dibuat, tidak dapat menyisipkan objek" muncul. Jika pengguna tidak ada, operasi berhasil.

Memvalidasi sinkronisasi pengguna

  1. Keluar dari konteks server saat ini:

    exit

  2. Jalankan listUsers untuk mengonfirmasi bahwa semua ID Pengguna, Jenis Pengguna, dan Nama Pengguna sekarang sama dan tersedia di bawah setiap simpul (server 0, 1, 2):

    listUsers

Sinkronisasi kunci

Saat Anda membuat kunci, Anda bertanggung jawab untuk memastikan kunci ada di semua simpul. Meskipun Azure Cloud HSM mendukung sinkronisasi kunci sisi layanan dan operasi pemulihan, Anda harus memverifikasi bahwa kunci tersedia pada node yang hilang sebelum digunakan.

Penting

Jika kunci hilang atau pembuatan gagal pada simpul apa pun, Anda harus menjalankan perintah yang sesuai dan melakukan langkah-langkah validasi untuk memulihkan konsistensi. Kunci yang ada hanya pada satu node berisiko kehilangan permanen jika node tersebut gagal.

Mengidentifikasi kunci yang hilang

  1. Mulai utilitas manajemen:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. Masuk sebagai petugas kriptografi (CO):

    loginHSM CO admin <admin-password>

    Verifikasi bahwa Anda berhasil masuk ke ketiga simpul:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

  3. Jalankan findAllKeys perintah untuk menampilkan jumlah kunci dan ID handel kunci di bawah setiap simpul:

    findAllKeys 0 0

  4. Amati jumlah kunci yang ditemukan untuk setiap simpul dan ID handel kunci yang sesuai. Bandingkan hasil di ketiga server untuk mengidentifikasi kunci yang hilang.

Menyinkronkan kunci yang hilang

  1. Identifikasi simpul sumber yang memiliki kunci. Dalam contoh ini, server 0 memiliki handle kunci yang tidak tersedia di server 1 dan server 2.

    server 0

  2. Jalankan syncKey perintah untuk setiap server tempat kunci hilang. Ganti <key-handle> dengan ID handel kunci aktual:

    syncKey <key-handle> 1
syncKey <key-handle> 2

    Misalnya, untuk menyinkronkan handel kunci 262150 ke server 1 dan 2:

    syncKey 262150 1
syncKey 262150 2

Memvalidasi sinkronisasi kunci

  1. Keluar dari konteks server saat ini:

    exit

  2. Jalankan findAllKeys 0 0 untuk mengonfirmasi bahwa semua pegangan kunci dan jumlah kunci yang ditemukan sekarang sudah sama dan tersedia di bawah setiap node (server 0, 1, 2):

    findAllKeys 0 0

Praktik terbaik

Untuk mencegah masalah sinkronisasi dan potensi kehilangan data:

  • Verifikasi setelah pembuatan: Setelah membuat pengguna atau kunci apa pun, segera verifikasi bahwa itu ada pada ketiga node.
  • Pertahankan pencadangan reguler: Gunakan fungsionalitas pencadangan dan pemulihan untuk melindungi dari kegagalan node.
  • Pantau perbedaan: Jalankan listUsers secara berkala dan findAllKeys 0 0 periksa inkonsistensi di seluruh simpul.
  • Bertindak cepat pada kegagalan: Jika Anda melihat kegagalan pembuatan pengguna atau kunci, sinkronkan ke node yang hilang sebelum kegagalan node terjadi.

Konten terkait

  • Terakhir diperbarui pada