Синхронизация пользователей и ключей между Azure узлами Cloud HSM

В этой статье объясняется, как определить и устранить проблемы синхронизации, когда пользователи или ключи отсутствуют из одного или нескольких узлов в кластере Azure Cloud HSM.

Обзор

В некоторых случаях пользователи или ключи могут не реплицироваться на все узлы в кластере Azure Cloud HSM. Это может произойти во время событий службы, таких как самовосстановление или обновление, или при сбое создания на одном или нескольких узлах. Если возникают периодические сбои проверки подлинности или ошибки криптографических операций, возможно, у вас есть пользователи или ключи, которые должны быть синхронизированы.

Это важно

Пользователь или ключ, который существует только на одном узле, подвержен риску постоянной, неустранимой потери, если этот узел выходит из строя. Если вы определяете отсутствующих пользователей или ключей, синхронизируйте их немедленно и убедитесь, что у вас есть текущие резервные копии.

Необходимые условия

  • Доступ к виртуальной машине с установленным пакетом SDK Azure Cloud HSM
  • Средство azcloudhsm_mgmt_util
  • Учетные данные сотрудника по шифрованию (CO) для развертывания Azure Cloud HSM

Синхронизация пользователей

Все пользователи в Azure Cloud HSM полностью управляются клиентом. Служба не выполняет синхронизацию внутренних пользователей, если создание пользователя завершается ошибкой. Если создание пользователя завершается ошибкой на одном или нескольких узлах, необходимо вручную синхронизировать пользователя с отсутствующими узлами.

Это важно

Убедитесь, что все пользователи постоянно создаются и присутствуют на каждом узле в кластере. Если пользователь отсутствует или создание не удается выполнить на любом узле, необходимо выполнить необходимые команды и выполнить шаги проверки для восстановления согласованности.

Определение отсутствующих пользователей

  1. Запустите служебную программу управления:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. listUsers Выполните команду, чтобы отобразить идентификатор пользователя, тип пользователя и имя пользователя под каждым узлом (сервер 0, 1, 2):

    listUsers

  3. Обратите внимание на количество пользователей, найденных для каждого узла и соответствующих имен пользователей. Сравните списки на всех трех серверах, чтобы определить отсутствующих пользователей.

Синхронизация отсутствующих пользователей

  1. Войдите в качестве сотрудника по шифрованию (CO):

    loginHSM CO admin <admin-password>

    Убедитесь, что вы успешно вошли во все три узла:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

    Замечание

    Если не удается войти на любом узле, операция синхронизации может завершиться ошибкой. Прежде чем продолжить, убедитесь в успешном входе во все узлы.

  2. Определите исходный узел, имеющий пользователя. В этом примере сервер 0 имеет пользователя, который недоступен на сервере 1 и сервере 2:

    server 0

  3. syncUser Выполните команду для каждого сервера, где отсутствует пользователь. Замените <user-id> фактическим идентификатором пользователя:

    syncUser <user-id> 1
syncUser <user-id> 2

    Замечание

    Если syncUser выполняется на узле, где уже существует пользователь, появится сообщение об ошибке "пользователь уже создан, не удается вставить объект". Если пользователь не существует, операция завершается успешно.

Проверка синхронизации пользователей

  1. Выход из текущего контекста сервера:

    exit

  2. Выполните команду listUsers , чтобы убедиться, что все идентификаторы пользователей, типы пользователей и имена пользователей теперь равны и доступны в каждом узле (сервер 0, 1, 2):

    listUsers

Синхронизация ключей

При создании ключей необходимо убедиться, что ключи присутствуют на всех узлах. Хотя Azure Cloud HSM поддерживает синхронизацию и восстановление ключей на стороне службы, перед использованием необходимо убедиться, что ключи доступны на всех отсутствующих узлах.

Это важно

Если ключ отсутствует или не удается создать на любом узле, необходимо выполнить соответствующие команды и выполнить шаги проверки для восстановления согласованности. Ключ, который существует только на одном узле, подвержен риску постоянной потери, если этот узел выходит из строя.

Определение отсутствующих ключей

  1. Запустите служебную программу управления:

    ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg

  2. Войдите в качестве сотрудника по шифрованию (CO):

    loginHSM CO admin <admin-password>

    Убедитесь, что вы успешно вошли во все три узла:

    loginHSM success on server 0
loginHSM success on server 1
loginHSM success on server 2

  3. findAllKeys Выполните команду, чтобы отобразить количество ключей и идентификаторов ключей под каждым узлом:

    findAllKeys 0 0

  4. Просмотрите количество ключей, найденных для каждого узла и соответствующих идентификаторов ключей. Сравните результаты на всех трех серверах, чтобы определить отсутствующие ключи.

Синхронизация отсутствующих ключей

  1. Определите исходный узел с ключом. В этом примере сервер 0 имеет дескриптор ключа, который недоступен на сервере 1 и сервере 2:

    server 0

  2. syncKey Выполните команду для каждого сервера, где отсутствует ключ. Замените <key-handle> фактическим идентификатором дескриптора ключа:

    syncKey <key-handle> 1
syncKey <key-handle> 2

    Например, для синхронизации дескриптора ключа 262150 с серверами 1 и 2:

    syncKey 262150 1
syncKey 262150 2

Проверка синхронизации ключей

  1. Выход из текущего контекста сервера:

    exit

  2. Выполните команду findAllKeys 0 0, чтобы убедиться, что все дескрипторы ключей и количество найденных ключей теперь равны и доступны на каждом узле (серверы 0, 1, 2):

    findAllKeys 0 0

Лучшие практики

Чтобы предотвратить проблемы синхронизации и потенциальную потерю данных:

  • Проверьте после создания: после создания любого пользователя или ключа немедленно убедитесь, что он существует на всех трех узлах.
  • Регулярное резервное копирование: используйте функцию резервного копирования и восстановления для защиты от сбоев узлов.
  • Отслеживайте несоответствия: периодически выполняйте listUsers и findAllKeys 0 0 проверяйте несоответствия между узлами.
  • Действовать быстро при сбоях: Если вы заметили сбой создания пользователя или ключа, синхронизируйте его с недостающими узлами до возникновения сбоя узла.

Связанный контент

  • Последнее обновление: