10.4. 硬件安全模块

• 例如：

  # TokenInfo /var/lib/pki/rhcs10-ECC-SubCA/alias
  
  Database Path: .
  Found external module 'NSS Internal PKCS #11 Module'
  Found external module 'nfast'
  Found external module 'p11-kit-proxy'
  Found external token 'accelerator'
  Found external token 'NHSM-CONN-XC'

  Copy to Clipboard Toggle word wrap

  这个工具会返回证书系统可以检测到的所有令牌，而不仅仅是在证书系统中安装的令牌。

• 服务器证书
• 客户端证书
• 对象签名证书：
• OCSP 响应签名证书

• 对于所有 PKI 子偏移的 TLS 服务器证书，请按照 服务器证书步骤。
• 对于任何子系统的审计签名证书，请按照以下步骤验证 对象签名证书。
• 对于 CA 子系统的签名证书，请按照上述步骤导入和验证 中间证书链，但仅用 caSigningCert 执行。
• 对于 CA 子系统的 OCSP 签名证书，请按照以下步骤验证 OCSP 证书。
• 对于 PKI 子系统的所有其他系统证书，请按照 客户端证书步骤操作。

导入服务器证书：

• PKICertImport -d . -h HSM -f password_file -n "host.name.example.com" -t "," -a -i service.crt -u V

  此命令将验证并导入服务器证书到 HSM。当没有输出错误消息且返回码为 0 时，验证成功。要检查返回代码，请在执行上述命令后立即执行 echo $?。在大多数情况下，会输出视觉错误消息。由于父证书或缺少 CA 信任链的过期（如缺少中间证书或缺少 CA Root），证书通常无法验证。如果验证没有成功，请联络签发者并确保您的系统中存在所有中间证书和 root 证书。

导入客户端证书：

• PKICertImport -d . -h HSM -f password_file -n "client name" -t "," -a -i client.crt -u C

  此命令将验证并导入客户端证书到 HSM。当没有输出错误消息且返回码为 0 时，验证成功。要检查返回代码，请在执行上述命令后立即执行 echo $?。在大多数情况下，会输出视觉错误消息。如果验证没有成功，请联络签发者并确保您的系统中存在所有中间证书和 root 证书。

导入对象签名证书：

• PKICertImport -d . -h HSM -f password_file -n "certificate name" -t ",P" -a -i objectsigning.crt -u J

  此命令将验证并导入对象签名证书到 HSM。当没有输出错误消息且返回码为 0 时，验证成功。要检查返回代码，请在执行上述命令后立即执行 echo $?。在大多数情况下，会输出视觉错误消息。如果验证没有成功，请联络签发者并确保您的系统中存在所有中间证书和 root 证书。

要导入 OCSP 响应签名证书：

• PKICertImport -d . -h HSM -f password_file -n "certificate name" -t "," -a -i ocsp.crt -u O

  这个命令会验证并将 OCSP 响应器证书导入到 HSM 中。当没有输出错误消息且返回码为 0 时，验证成功。要检查返回代码，请在执行上述命令后立即执行 echo $?。在大多数情况下，会输出视觉错误消息。如果验证没有成功，请联络签发者并确保您的系统中存在所有中间证书和 root 证书。