AWS CloudHSM で専用ハードウェアによる暗号鍵管理を体験する

前提条件

1. リージョン: ap-northeast-1（東京）
2. IAM ユーザーまたはロールに CloudHSM の操作権限があること
3. 以下のリソースが作成済みであること

> コストに関する注意: CloudHSM クラスターに HSM を追加すると、時間単位で課金が発生します。本記事では HSM を追加せず、クラスターの作成までを行います（HSM が 0 台のクラスターには HSM の時間料金はかかりません）。

作成するリソース一覧

ステップ1: CloudHSM コンソールへの移動

1. AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します
2. 上部の検索バーに CloudHSM と入力し、表示された「CloudHSM」を選択します

ステップ2: クラスターの作成

1. 「クラスターを作成」をクリックします。作成は「クラスター設定」→「バックアップ保持」→「タグ」→「確認」の 4 ステップです
2. ステップ 1「クラスター設定」で以下を設定します
   • VPC: cloudhsm-lab-vpc を選択します
   • AZ とサブネット: ap-northeast-1a と ap-northeast-1c の欄で、それぞれのプライベートサブネットを選択します（サブネットは ID で表示されます。ap-northeast-1d の欄は空のままにします）。高可用性のため、少なくとも 2 つの AZ を選択することが推奨されます
   • HSM タイプ: デフォルトの hsm2m.medium のまま（東京リージョンでは、旧タイプの hsm1.medium は選べません）
   • クラスターモード: デフォルトの「FIPS 以外」のまま。FIPS で検証されたキーとアルゴリズムだけに制限したい場合は「FIPS」を選びます
   • ネットワークタイプ: デフォルトの IPv4 のまま
   • クラスターソース: デフォルトの「新しいクラスター」のまま

1. 「続行」をクリックします。ステップ 2「バックアップ保持」は、デフォルト（90 日）のまま「続行」をクリックします
2. ステップ 3「タグ」で「タグの追加」をクリックし、キー Name、値 basic-cloudhsm-cluster を入力して「続行」をクリックします
3. ステップ 4 で内容を確認し、「クラスターの作成」をクリックします

1. ステータスが「作成中」から「未初期化」に変わるまで待ちます（今回は 1 分ほどでした）

ステップ3: クラスターの詳細確認

1. クラスター ID をクリックして詳細画面を確認します
2. 以下の情報が表示されます
   • クラスター ID: クラスターの一意の識別子
   • 状態: クラスターの状態（今は「未初期化」）
   • VPC: クラスターが作成された VPC
   • セキュリティグループ: CloudHSM が自動作成したセキュリティグループ
   • バックアップ保持期間・HSM タイプ・モード・AZ とサブネット: 作成時に選んだ設定
3. HSM を追加すると、ここにクラスター内の HSM の一覧も表示されるようになります

ステップ4: セキュリティグループの確認

1. クラスター詳細画面の「セキュリティグループ」に表示されているセキュリティグループ ID（cloudhsm-cluster-<クラスター ID>-sg）をクリックします。EC2 コンソールのセキュリティグループの画面が開きます
2. 「インバウンドルール」タブで、自動作成されたルールを確認します
   • TCP ポート 2223〜2225 を、送信元「このセキュリティグループ自身」から許可するルールが 1 本あります（アウトバウンドも同じく、自分自身へのポート 2223〜2225 だけです）
3. つまり、このセキュリティグループが付いているもの同士でしか通信できません。アプリケーション（EC2 インスタンス）からクラスターに接続するには、このセキュリティグループを EC2 インスタンスにも付けるか、アプリケーション側のセキュリティグループからのインバウンドを追加します

ステップ5: HSM の初期化（概念の確認）

実際の運用では、クラスター作成後に以下の手順で初期化を行います。ここでは手順の概要を確認します。

1. CSR（証明書署名リクエスト）の取得: クラスターの CSR をダウンロードし、HSM の真正性を確認する 2. 自己署名証明書の作成: CSR に署名し、証明書を作成してクラスターに適用する 3. HSM の初期化: 最初の HSM をクラスターに追加する 4. Crypto Officer（CO）パスワードの設定: CloudHSM クライアントを使用して HSM のパスワードを設定する 5. Crypto User（CU）の作成: アプリケーションが使用するユーザーを作成する

CloudHSM のユーザー管理は IAM とは独立しており、HSM 内部で管理されます。主なユーザータイプは以下のとおりです。