8.3. 使用 HSM 安装克隆子系统

通常，克隆子系统会使用包含主子系统的系统密钥的 PKCS TOTP 文件创建。在安装 master 子系统时，该文件会在您用来安装的配置文件中将 pki_backup_keys 设置为 True，以及 pki_backup_password 选项的定义值，或使用 PKCS12Export 工具导出密钥。

在使用 HSM 时，您无法使用这个工具生成 PKCSautomationhub 文件，因为无法从 HSM 检索密钥。相反，克隆子系统应指向主子系统使用的 HSM，以便它可以访问相同的密钥。另外，如果使用单独的 HSM，请使用 HSM 供应商提供的工具将密钥克隆到此 HSM。在运行 pkispawn 工具前，您必须提供对 master 子系统的密钥的访问。

当使用 HSM 安装时，证书系统没有使用 PKCS TOTP，因此您不需要在配置文件中为 PKCSRG 文件及其密码设置参数。以下示例列出了生成 CA 克隆所需的相应 PKI 配置文件的 [Tomcat] 部分中的选项。