2.5. 使用证书系统进行智能卡令牌管理

TKS 支持多个智能卡密钥集。每个智能卡厂商为其智能卡令牌库存创建不同的默认（开发人员）静态密钥集，TKS 则附带静态密钥集（每个制造商）来 kickstart 空白令牌的格式过程。

在空白智能卡令牌的格式过程中，Java 小程序和唯一派生的对称密钥集将注入到令牌中。每个主密钥（在某些情况下被称为 keySet）在 TKS 配置文件(CS.cfg)中包含一组条目。每个 TPS 配置文件都包含一个配置，将注册定向到匹配的密钥生成过程的正确 TKS 密钥Set，这基本上负责建立由 TMS 和智能卡令牌之间的一组特定会话密钥保护的安全频道。

在 TKS 上，主密钥由名为 keySets 来定义，供 TPS 引用。在 TPS 上，根据注册类型（内部或外部注册），keySet 在 TPS 配置文件中指定，或者由 keySet Mapping Resolver 决定。

Key Ceremony 是以安全的方式传输高度敏感密钥的过程。在一个场景中，在高度安全的部署环境中，可以在没有网络到外部的安全库中生成主密钥。或者，组织可能希望在不同的物理机上具有 TKS 和 TPS 实例。在这两种情况下，假设没有单个人使用密钥信任，Red Hat Certificate System TMS 都提供了一个称为 tkstool 的工具来管理安全密钥传输。

当在工厂上创建与全局平台兼容智能卡时，制造商会将一组默认对称密钥刻录到令牌中。TKS 最初配置为使用这些对称密钥(TKS 配置中每个供应商一个 KeySet 条目)。但是，由于这些对称密钥并不对来自同一库存的智能卡而言是唯一的，而且由于这些对称密钥是已知的密钥，因此强烈建议将这些对称密钥替换为每个令牌的唯一集合，而不是由制造商共享，以限制可操作令牌的实体集合。

通过 Token Key Service 子系统的帮助，对密钥的更改进行。TKS 其中一个功能是覆盖之前讨论的智能卡令牌密钥的主密钥。在 TKS 控制下可以有多个主密钥。

Red Hat Certificate System Token Management System (TMS)支持 GlobalPlatform 智能卡规格，其中安全频道实现由令牌密钥系统(TKS)管理主密钥和令牌处理系统(TPS)与智能卡（令牌）与应用程序 协议数据单元(A PDU)通信。

APDU 有两种类型：

当客户端采取行动并连接到证书系统服务器以获取请求时，可能会触发 APDU 命令的启动。安全通道从从 TPS 发送到智能卡令牌的 InitializeUpdate APDU 开头，并与 ExternalAuthenticate APDU 完全建立。然后，令牌和 TMS 都建立一组共享 secret，称为 会话密钥，用于加密和验证通信。这个验证和加密的通信频道称为安全频道。

由于 TKS 是唯一可访问主密钥的唯一实体，该密钥能够派生唯一对称在令牌智能卡密钥集，所以安全频道在 TMS 和每个令牌之间提供适当的保护通信。任何频道的连接都需要为新频道重新建立新的会话密钥。

Red Hat Certificate System 包含 Coolkey Java 小程序，专门用于在 TMS 支持的智能卡令牌上运行。Coolkey 小程序连接到处理证书和密钥相关操作的 PKCSxdg 模块。在令牌格式操作过程中，这个小程序使用安全频道协议注入智能卡令牌，并可以根据配置更新。

Red Hat Certificate System 中的 TPS 可用于代表智能卡的最终用户调配智能卡。令牌处理系统支持以下主要令牌操作：

以下其他操作可以被视为附加操作，或对上面列出的主操作进行固有的操作。它们可根据相关配置或令牌的状态触发。

证书系统令牌处理系统子系统有助于管理智能卡令牌。令牌由 TPS 置备，以便它们从空白状态获取为 Formatted 或 Enrolled 条件。格式化令牌是包含 TPS 支持的 CoolKey 小程序的令牌，而注册的令牌则被个人化为具有必要证书和加密密钥的个人。 此完全置备的令牌可用于 crytptographic 操作。

TPS 也可以管理配置文件 。令牌配置文件的概念与：

以下列表包含组成唯一令牌配置集的一些数量：

以上和许多其他令牌可以为每个令牌类型或配置文件配置。有关可用配置选项的完整列表，请参见 Red Hat Certificate System 管理指南。

要考虑的另一个问题是用户调配的给定令牌如何映射到单独的令牌配置集。注册有两种类型：

要使用的注册是按 TPS 实例全局配置的。

令牌处理系统利用 LDAP 令牌数据库存储，用于保留活动令牌及其相应证书的列表，并跟踪每个令牌的当前状态。新令牌被视为 未初始化，而完全注册的令牌则被视为注册。 在处理令牌时，TPS 会持续更新并查询此数据存储。

tokendb.allowedTransitions=0:1,0:2,0:3,0:6,3:2,3:6,4:1,4:2,4:3,4:6,6:7

tokendb.allowedTransitions=0:1,0:2,0:3,0:6,3:2,3:6,4:1,4:2,4:3,4:6,6:7

tps.operations.allowedTransitions=0:0,0:4,4:4,4:0,7:0

tps.operations.allowedTransitions=0:0,0:4,4:4,4:0,7:0

Token states
Token state transitions

# Token states
UNFORMATTED         = Unformatted
FORMATTED           = Formatted (uninitialized)
ACTIVE              = Active
SUSPENDED           = Suspended (temporarily lost)
PERM_LOST           = Permanently lost
DAMAGED             = Physically damaged
TEMP_LOST_PERM_LOST = Temporarily lost then permanently lost
TERMINATED          = Terminated

# Token state transitions
FORMATTED.DAMAGED        = This token has been physically damaged.
FORMATTED.PERM_LOST      = This token has been permanently lost.
FORMATTED.SUSPENDED      = This token has been suspended (temporarily lost).
FORMATTED.TERMINATED     = This token has been terminated.
SUSPENDED.ACTIVE         = This suspended (temporarily lost) token has been found.
SUSPENDED.PERM_LOST      = This suspended (temporarily lost) token has become permanently lost.
SUSPENDED.TERMINATED     = This suspended (temporarily lost) token has been terminated.
SUSPENDED.FORMATTED      = This suspended (temporarily lost) token has been found.
ACTIVE.DAMAGED           = This token has been physically damaged.
ACTIVE.PERM_LOST         = This token has been permanently lost.
ACTIVE.SUSPENDED         = This token has been suspended (temporarily lost).
ACTIVE.TERMINATED        = This token has been terminated.
TERMINATED.UNFORMATTED   = Reuse this token.

RE_ENROLL=YES;RENEW=NO;FORCE_FORMAT=NO;PIN_RESET=NO;RESET_PIN_RESET_TO_NO=NO;RENEW_KEEP_OLD_ENC_CERTS=YES

RE_ENROLL=YES;RENEW=NO;FORCE_FORMAT=NO;PIN_RESET=NO;RESET_PIN_RESET_TO_NO=NO;RENEW_KEEP_OLD_ENC_CERTS=YES

Mapping Resolver 是 TPS 使用的可扩展机制，用于根据可配置的标准决定哪些令牌配置文件分配给特定令牌。每个映射解析器实例都可以在配置中唯一定义，每个操作都可指向各种定义的映射解析器实例。

FilterMappingResolver 是默认情况下，由 TPS 提供的唯一映射解析器实现。它允许您为每个 映射 定义一组映射和目标结果。每个映射都包含一组过滤器，其中：

输入过滤器参数是从智能卡令牌接收的信息，且没有扩展。它们会根据上述规则针对 FilterMappingResolver 运行。FilterMappingResolver 支持以下输入过滤器参数：

TPS 默认支持以下角色：