CloudHSM용 cloudhsm_mgmt_util 명령을 사용할 때 나타나는 “RET_MXN_AUTH_FAILED” 오류를 해결하려면 어떻게 해야 하나요?

간략한 설명

RET_MXN_AUTH_FAILED 오류는 M of N 액세스 제어라고도 하는 쿼럼 인증을 제공하지 않을 때 발생합니다. 쿼럼 인증으로 명령을 실행하려면 최소 두 명의 사용자가 토큰에 서명해야 합니다. 쿼럼 인증은 단일 사용자가 CloudHSM 클러스터에서 잘못된 활동을 발생하지 않도록 합니다.

이 예제에서 listUsers 명령의 출력은 MofnPubKey 값이 NO로 설정되어 있음을 보여줍니다:

aws-cloudhsm>aws-cloudhsm>listUsers  
Users on server 0(172.31.21.34):
Number of users found:6
    User Id        User Type    User Name     MofnPubKey    LoginFailureCnt     2FA
         1            CO        admin           NO               0               NO
         2            AU        app_user        NO               0               NO
         3            CU        cryptouser      NO               0               NO
         4            CO        admin1          NO               0               NO
         5            CO        palmep          NO               0               NO
         6            CU        user1           NO               0               NO

MofnPubKey 값이 NO로 설정된 경우 사용자는 쿼럼 토큰에 서명할 수 있는 공개키를 보유하지 않습니다. 공개 키를 등록하려면 CO(Crypto Officers)가 CloudHSM 클러스터에 대해 registerMofnPubKey 명령을 실행해야 합니다.

해결 방법

CloudHSM 클러스터에서 getMValue 명령을 실행합니다. 파라미터 3을 사용하여 서비스 3에 있는 명령의 값을 나타냅니다. 이 작업은 createuser, deleteUser 및 changePswd를 사용합니다.

aws-cloudhsm>getMValue 3MValue of service 3[USER_MGMT] on server 0 : [2]
MValue of service 3[USER_MGMT] on server 1 : [2]

위 예에서 클러스터의 HSM 서버 값은 2입니다. 이 값을 2 이하로 낮출 수는 없지만 값을 올릴 수는 있습니다. 실수로 이 값을 설정한 경우 CloudHSM 클러스터 백업에서 값을 복원할 수 있습니다.

이 문제를 해결하려면 getMValue에 지정된 사용자 수로 비대칭 키를 만들어 등록해야 합니다. 그런 다음 쿼럼 토큰을 가져와 getMValue에 지정된 사용자가 토큰에 서명하도록 합니다. 자세한 내용은 CO(Crypto Officers)를 위한 쿼럼 인증 사용: 최초 설정을 참조하세요.