¿Cómo soluciono el error «RET_MXN_AUTH_FAILED» que aparece cuando uso el comando cloudhsm_mgmt_util para CloudHSM?

Descripción corta

El error RET_MXN_AUTH_FAILED se produce cuando no se proporciona la autenticación de quórum, también llamada control de acceso M de N. Al menos dos usuarios deben firmar un token para ejecutar un comando con autenticación de quórum. La autenticación de quórum garantiza que un solo usuario no pueda provocar una actividad incorrecta en el clúster de CloudHSM.

En este ejemplo, el resultado del comando listUsers muestra que el valor MofnPubKey está establecido en NO:

aws-cloudhsm>aws-cloudhsm>listUsers  
Users on server 0(172.31.21.34):
Number of users found:6
    User Id        User Type    User Name     MofnPubKey    LoginFailureCnt     2FA
         1            CO        admin           NO               0               NO
         2            AU        app_user        NO               0               NO
         3            CU        cryptouser      NO               0               NO
         4            CO        admin1          NO               0               NO
         5            CO        palmep          NO               0               NO
         6            CU        user1           NO               0               NO

Cuando el valor de MofnPubKey se establece en NO, los usuarios no tienen una clave pública que pueda firmar tokens de quórum. Para registrar la clave pública, los responsables de criptografía (CO) deben ejecutar el comando registerMofnPubKey para el clúster de CloudHSM.

Resolución

Ejecute el comando getMValue en el clúster de CloudHSM. Utilice el parámetro 3 para indicar el valor de los comandos del servicio 3. Esta operación usa createuser, deleteUser y changePswd:

aws-cloudhsm>getMValue 3MValue of service 3[USER_MGMT] on server 0 : [2]
MValue of service 3[USER_MGMT] on server 1 : [2]

En el ejemplo anterior, el valor de los servidores HSM del clúster es 2. No puede reducir este valor a menos de 2, pero puede aumentarlo. Si activa este valor de forma involuntaria, puede restaurarlo a partir de una copia de seguridad de un clúster de CloudHSM.

Para resolver este problema, debe crear y registrar una clave asimétrica con el número de usuarios especificado en getMValue. A continuación, obtenga el token de quórum y pida a los usuarios que se especifican en getMValue que firmen el token. Para obtener instrucciones, consulte Using quorum authentication for crypto officers: first-time setup.