Synchronizowanie użytkowników i kluczy między węzłami modułu HSM w chmurze Azure

W tym artykule wyjaśniono, jak identyfikować i rozwiązywać problemy z synchronizacją, gdy brakuje użytkowników lub kluczy z co najmniej jednego węzła w klastrze modułu HSM w chmurze Azure.

Przegląd

W niektórych przypadkach użytkownicy lub klucze mogą nie być replikowane do wszystkich węzłów w klastrze modułu HSM w chmurze Azure. Może to wystąpić podczas zdarzeń związanych z usługą, takich jak samonaprawa lub aktualizacje, albo gdy tworzenie zakończy się niepowodzeniem w co najmniej jednym węźle. Jeśli występują sporadyczne błędy uwierzytelniania lub błędy operacji kryptograficznych, mogą istnieć użytkownicy lub klucze, które muszą zostać zsynchronizowane.

Wymagania wstępne

• Access do maszyny wirtualnej z zainstalowanym zestawem SDK modułu HSM w chmurze Azure
• Narzędzie azcloudhsm_mgmt_util
• Poświadczenia oficera kryptografii (CO) dla wdrożenia modułu HSM w chmurze Azure

Synchronizacja użytkowników

Wszyscy użytkownicy Azure Cloud HSM są w pełni zarządzani przez klienta. Usługa nie wykonuje synchronizacji użytkowników w tle, jeśli tworzenie użytkownika zakończy się niepowodzeniem. Jeśli tworzenie użytkownika zakończy się niepowodzeniem w co najmniej jednym węźle, musisz ręcznie zsynchronizować użytkownika z brakującymi węzłami.

Identyfikowanie brakujących użytkowników

1. Uruchom narzędzie do zarządzania:

   ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg
   

2. listUsers Uruchom polecenie , aby wyświetlić identyfikator użytkownika, typ użytkownika i nazwę użytkownika w każdym węźle (serwer 0, 1, 2):

   listUsers
   

3. Obserwuj liczbę użytkowników znalezionych dla każdego węzła i odpowiadających im nazw użytkowników. Porównaj listy na wszystkich trzech serwerach, aby zidentyfikować brakujących użytkowników.

Synchronizowanie brakujących użytkowników

1. Zaloguj się jako oficer kryptografii (CO):

   loginHSM CO admin <admin-password>
   

   Sprawdź, czy pomyślnie zalogowaliśmy się do wszystkich trzech węzłów:

   loginHSM success on server 0
   loginHSM success on server 1
   loginHSM success on server 2
   

   Uwaga / Notatka

   Jeśli logowanie nie powiedzie się w dowolnym węźle, operacja synchronizacji może zakończyć się niepowodzeniem. Przed kontynuowaniem upewnij się, że logowanie do wszystkich węzłów zakończyło się pomyślnie.

2. Zidentyfikuj węzeł źródłowy, który ma użytkownika. W tym przykładzie serwer 0 ma użytkownika, który nie jest dostępny na serwerze 1 i serwerze 2:

   server 0
   

3. syncUser Uruchom polecenie dla każdego serwera, na którym brakuje użytkownika. Zastąp <user-id> rzeczywistym identyfikatorem użytkownika.

   syncUser <user-id> 1
   syncUser <user-id> 2
   

   Uwaga / Notatka

   Jeśli syncUser jest wykonywane względem węzła, w którym użytkownik już istnieje, zostanie wyświetlony komunikat o błędzie "użytkownik już utworzony, nie można wstawić obiektu". Jeśli użytkownik nie istnieje, operacja zakończy się pomyślnie.

Weryfikowanie synchronizacji użytkowników

1. Zamknij bieżący kontekst serwera:

   exit
   

2. Uruchom polecenie listUsers , aby potwierdzić, że wszystkie identyfikatory użytkowników, typy użytkowników i nazwy użytkownika są teraz równe i dostępne w każdym węźle (serwer 0, 1, 2):

   listUsers
   

Synchronizacja kluczy

Podczas tworzenia kluczy należy upewnić się, że klucze są obecne we wszystkich węzłach. Mimo że moduł HSM Azure w chmurze obsługuje operacje synchronizacji i przywracania kluczy po stronie usługi, przed użyciem należy sprawdzić, czy klucze są dostępne w dowolnych brakujących węzłach.

Identyfikowanie brakujących kluczy

1. Uruchom narzędzie do zarządzania:

   ./azcloudhsm_mgmt_util ./azcloudhsm_resource.cfg
   

2. Zaloguj się jako oficer kryptografii (CO):

   loginHSM CO admin <admin-password>
   

   Sprawdź, czy pomyślnie zalogowaliśmy się do wszystkich trzech węzłów:

   loginHSM success on server 0
   loginHSM success on server 1
   loginHSM success on server 2
   

3. Uruchom polecenie findAllKeys aby wyświetlić liczbę kluczy i identyfikatorów dojścia klucza dla każdego węzła:

   findAllKeys 0 0
   

4. Obserwuj liczbę kluczy znalezionych dla każdego węzła i odpowiednie identyfikatory uchwytów kluczy. Porównaj wyniki na wszystkich trzech serwerach, aby zidentyfikować brakujące klucze.

Synchronizowanie brakujących kluczy

1. Zidentyfikuj węzeł źródłowy, który ma klucz. W tym przykładzie serwer 0 ma klucz dojścia, który nie jest dostępny na serwerze 1 i serwerze 2:

   server 0
   

2. syncKey Uruchom polecenie dla każdego serwera, na którym brakuje klucza. Zastąp <key-handle> rzeczywistym identyfikatorem uchwytu klucza.

   syncKey <key-handle> 1
   syncKey <key-handle> 2
   

   Aby na przykład zsynchronizować uchwyt klucza 262150 z serwerami 1 i 2:

   syncKey 262150 1
   syncKey 262150 2
   

Weryfikowanie synchronizacji kluczy

1. Zamknij bieżący kontekst serwera:

   exit
   

2. Uruchom polecenie findAllKeys 0 0 , aby potwierdzić, że wszystkie uchwyty kluczy i liczba znalezionych kluczy są teraz równe i dostępne w każdym węźle (serwer 0, 1, 2):

   findAllKeys 0 0
   

Najlepsze rozwiązania

Aby zapobiec problemom z synchronizacją i potencjalnym utracie danych:

• Sprawdź po utworzeniu: po utworzeniu dowolnego użytkownika lub klucza natychmiast sprawdź, czy istnieje on na wszystkich trzech węzłach.
• Zachowaj regularne kopie zapasowe: użyj funkcji tworzenia i przywracania kopii zapasowej , aby chronić przed awariami węzłów.
• Monitoruj rozbieżności: okresowo uruchamiaj listUsers i findAllKeys 0 0 sprawdzaj niespójności między węzłami.
• Szybkie działanie w przypadku awarii: jeśli zauważysz błąd tworzenia użytkownika lub klucza, zsynchronizuj go z brakującymi węzłami przed wystąpieniem awarii węzła.

Treści powiązane

• Rozwiązywanie problemów z Azure Cloud HSM
• Zarządzanie użytkownikami w Azure Cloud HSM
• zarządzanie kluczami w Azure Cloud HSM
• Kopia zapasowa i przywracanie w Azure Cloud HSM