Gebruikers en sleutels synchroniseren tussen Azure Cloud HSM-knooppunten

In dit artikel wordt uitgelegd hoe u synchronisatieproblemen kunt identificeren en oplossen wanneer gebruikers of sleutels ontbreken in een of meer knooppunten in uw Azure Cloud HSM-cluster.

Overzicht

In sommige gevallen worden gebruikers of sleutels mogelijk niet gerepliceerd naar alle knooppunten in uw Azure Cloud HSM-cluster. Dit kan gebeuren tijdens servicegebeurtenissen, zoals zelfherstel of upgrades, of als het maken op een of meer knooppunten mislukt. Als u onregelmatige verificatiefouten of cryptografische bewerkingsfouten ondervindt, hebt u mogelijk gebruikers of sleutels die moeten worden gesynchroniseerd.

Belangrijk

Een gebruiker of sleutel die zich op slechts één knooppunt bevindt, loopt het risico op permanent, onherstelbaar verlies als dat knooppunt mislukt. Als u ontbrekende gebruikers of sleutels identificeert, synchroniseert u deze onmiddellijk en zorgt u ervoor dat u de huidige back-ups hebt.

Vereiste voorwaarden

• Access naar een VIRTUELE machine waarop de Azure Cloud HSM SDK is geïnstalleerd
• Het hulpprogramma
• Cryptography officer (CO)-referenties voor uw Azure Cloud HSM-implementatie

Gebruikerssynchronisatie

Alle gebruikers in Azure Cloud HSM worden volledig beheerd door de klant. De service voert geen achtergrondsynchronisatie van gebruikersaccounts uit als het maken van de gebruikersaccount mislukt. Als het maken van een gebruiker op een of meer knooppunten mislukt, moet u de gebruiker handmatig synchroniseren met de ontbrekende knooppunten.

Belangrijk

Zorg ervoor dat alle gebruikers consistent worden gemaakt en aanwezig zijn op elk knooppunt in het cluster. Als een gebruiker ontbreekt of het maken mislukt op een knooppunt, moet u de vereiste opdrachten uitvoeren en validatiestappen uitvoeren om consistentie te herstellen.

Ontbrekende gebruikers identificeren

1. Start het beheerhulpprogramma:

   ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg
   

2. Voer de opdracht uit om de gebruikers-id, het gebruikerstype en de gebruikersnaam onder elk knooppunt weer te geven (server 0, 1, 2):

   listUsers
   

3. Bekijk het aantal gebruikers dat is gevonden voor elk knooppunt en de bijbehorende gebruikersnamen. Vergelijk de lijsten op alle drie de servers om ontbrekende gebruikers te identificeren.

Ontbrekende gebruikers synchroniseren

1. Meld u aan als cryptografieofficier (CO):

   loginHSM CO admin <adminPassword>
   

   Controleer of u bent aangemeld bij alle drie de knooppunten:

   loginHSM success on server 0
   loginHSM success on server 1
   loginHSM success on server 2
   

   Opmerking

   Als het aanmelden op een knooppunt mislukt, kan de synchronisatiebewerking mislukken. Zorg ervoor dat u zich bij alle knooppunten aanmeldt voordat u doorgaat.

2. Identificeer het bronknooppunt met de gebruiker. In dit voorbeeld heeft server 0 een gebruiker die niet beschikbaar is op server 1 en server 2:

   server 0
   

3. Voer de opdracht uit voor elke server waarop de gebruiker ontbreekt. Vervang door de werkelijke gebruikers-id:

   syncUser <UserID> 1
   syncUser <UserID> 2
   

   Opmerking

   Als deze actie wordt uitgevoerd op een knooppunt waar de gebruiker al bestaat, verschijnt het foutbericht 'gebruiker reeds aanwezig, kan object niet invoegen'. Als de gebruiker niet bestaat, slaagt de bewerking.

Gebruikerssynchronisatie valideren

1. Sluit de huidige servercontext af:

   exit
   

2. Voer deze opdracht uit om te bevestigen dat alle gebruikers-id's, gebruikerstypen en gebruikersnamen nu gelijk zijn aan en beschikbaar zijn onder elk knooppunt (server 0, 1, 2):

   listUsers
   

Sleutelsynchronisatie

Wanneer u sleutels maakt, is het uw verantwoordelijkheid om ervoor te zorgen dat sleutels aanwezig zijn op alle knooppunten. Hoewel Azure Cloud HSM ondersteuning biedt voor sleutelsynchronisatie en herstelbewerkingen aan de servicezijde, moet u controleren of sleutels beschikbaar zijn op ontbrekende knooppunten voordat u deze gebruikt.

Belangrijk

Als een sleutel ontbreekt of de creatie mislukt op een knooppunt, moet u de juiste commando's uitvoeren en validatiestappen doorlopen om consistentie te herstellen. Een sleutel die zich op slechts één knooppunt bevindt, loopt het risico op permanent verlies als dat knooppunt uitvalt.

Ontbrekende sleutels identificeren

1. Start het beheerhulpprogramma:

   ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg
   

2. Meld u aan als cryptografie-officier (CO):

   loginHSM CO admin <adminPassword>
   

   Controleer of u bent aangemeld bij alle drie de knooppunten:

   loginHSM success on server 0
   loginHSM success on server 1
   loginHSM success on server 2
   

3. Voer de opdracht uit om het aantal sleutels en sleutelgreep-id's onder elk knooppunt weer te geven:

   findAllKeys 0 0
   

4. Bekijk het aantal sleutels dat is gevonden voor elk knooppunt en de bijbehorende sleutelgreep-id's. Vergelijk de resultaten op alle drie de servers om ontbrekende sleutels te identificeren.

Ontbrekende sleutels synchroniseren

1. Identificeer het bronknooppunt met de sleutel. In dit voorbeeld heeft server 0 een sleutelgreep die niet beschikbaar is op server 1 en server 2:

   server 0
   

2. Voer de opdracht uit voor elke server waarop de sleutel ontbreekt. Vervang door de werkelijke sleutelhandgreep-id:

   syncKey <KeyHandle> 1
   syncKey <KeyHandle> 2
   

   Als u bijvoorbeeld sleutelgreep 262150 wilt synchroniseren met servers 1 en 2:

   syncKey 262150 1
   syncKey 262150 2
   

Sleutelsynchronisatie valideren

1. Sluit de huidige servercontext af:

   exit
   

2. Voer deze opdracht uit om te bevestigen dat alle sleutelgrepen en het aantal gevonden sleutels nu gelijk zijn aan en beschikbaar zijn onder elk knooppunt (server 0, 1, 2):

   findAllKeys 0 0
   

Goede praktijken

Synchronisatieproblemen en mogelijk gegevensverlies voorkomen:

• Controleer na het maken: nadat u een gebruiker of sleutel hebt gemaakt, controleert u onmiddellijk of deze bestaat op alle drie de knooppunten.
• Regelmatige back-ups onderhouden: gebruik de functionaliteit voor back-up en herstel om te beveiligen tegen knooppuntfouten.
• Controleren op discrepanties: periodiek worden uitgevoerd en gecontroleerd op inconsistenties tussen knooppunten.
• Snel reageren op fouten: als u merkt dat er een fout optreedt bij het maken van een gebruiker of sleutel, synchroniseert u deze met de ontbrekende knooppunten voordat er een knooppuntfout optreedt.

Verwante inhoud

• Troubleshoot Azure Cloud HSM
• Gebruiker-beheer in Azure Cloud HSM
• Sleutelbeheer in Azure Cloud HSM
• Backup en herstel in Azure Cloud HSM