6.11. 设置服务器端密钥生成

服务器端密钥生成意味着密钥由密钥恢复授权(KRA)生成,它是一个可选的证书系统子系统。需要 KRA 生成密钥,以允许在丢失或已损坏的令牌时恢复密钥,或者在外部注册时检索密钥。这部分论述了如何在 TMS 中配置服务器端密钥生成。
在 TPS 安装过程中,要求您指定您是否要使用密钥归档。如果您确认,设置将执行自动基本配置,特别是以下参数:
KRA 的 TPS 连接器参数:
tps.connector.kra1.enable=true
tps.connector.kra1.host=host1.EXAMPLE.com
tps.connector.kra1.maxHttpConns=15
tps.connector.kra1.minHttpConns=1
tps.connector.kra1.nickName=subsystemCert cert-pki-tomcat
tps.connector.kra1.port=8443
tps.connector.kra1.timeout=30
tps.connector.kra1.uri.GenerateKeyPair=/kra/agent/kra/GenerateKeyPair
tps.connector.kra1.uri.TokenKeyRecovery=/kra/agent/kra/TokenKeyRecovery
用于服务器端密钥生成的 TPS 配置集参数:
op.enroll.userKey.keyGen.encryption.serverKeygen.archive=true
op.enroll.userKey.keyGen.encryption.serverKeygen.drm.conn=kra1
op.enroll.userKey.keyGen.encryption.serverKeygen.enable=true
设置 serverKeygen.enable=true 选项,使 serverKeygen.archive 生效。
重要
LunaSA HSM 不支持 RSA 加密时比 2048 字节小的密钥大小。
例如:要将密钥大小为 2048 字节,请在 /var/lib/pki/instance_name/tps/conf/CS.cfg 文件中设置以下参数:
op.enroll.userKey.keyGen.encryption.keySize=2048
TKS 配置:
以下配置了用于 TKS 和 KRA(通过 TPS)通信的传输证书的别名:
tks.drm_transport_cert_nickname=transportCert cert-pki-tomcat KRA
引用的传输证书还必须存在于 TKS 实例安全模块中。例如:
transportCert cert-pki-tomcat KRA                            u,u,u
KRA 配置
根据 PKCS#11 令牌,参数 kra.keygen.temporaryPairskra.keygen.sensitivePairskra.keygen.keygen.extractablePairs 可以为密钥生成选项自定义。这些参数默认设置为 false
这些参数的以下值已使用 Red Hat Certificate System 支持的一些安全模块进行了测试:
NSS(在 FIPS 模式中):
kra.keygen.extractablePairs=true
nCipher nShield Connect 6000(默认情况下,不指定工作):
指定 RSA 密钥:
kra.keygen.temporaryPairs=true
(不要指定任何其他参数。)
生成 ECC 密钥:
kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=false
kra.keygen.extractablePairs=true
LunaSA CKE - 密钥导出模型(非FIPS 模式):
kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=true
kra.keygen.extractablePairs=true
注意
Gemalto SafeNet LunaSA 只支持 CKE - 密钥导出模型中的 PKI 私钥提取,且仅在非FIPS 模式中支持。LunaSA Cloning 模型和 FIPS 模式中的 CKE 模型不支持 PKI 私钥提取。
注意
当 LunaSA CKE - Key Export Model 处于 FIPS 模式时,无法提取 pki 私钥。