Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

6.11. 设置服务器端密钥生成

服务器端密钥生成意味着密钥由密钥恢复授权(KRA)生成，它是一个可选的证书系统子系统。需要 KRA 生成密钥，以允许在丢失或已损坏的令牌时恢复密钥，或者在外部注册时检索密钥。这部分论述了如何在 TMS 中配置服务器端密钥生成。
在 TPS 安装过程中，要求您指定您是否要使用密钥归档。如果您确认，设置将执行自动基本配置，特别是以下参数：
KRA 的 TPS 连接器参数：
tps.connector.kra1.enable=true
tps.connector.kra1.host=host1.EXAMPLE.com
tps.connector.kra1.maxHttpConns=15
tps.connector.kra1.minHttpConns=1
tps.connector.kra1.nickName=subsystemCert cert-pki-tomcat
tps.connector.kra1.port=8443
tps.connector.kra1.timeout=30
tps.connector.kra1.uri.GenerateKeyPair=/kra/agent/kra/GenerateKeyPair
tps.connector.kra1.uri.TokenKeyRecovery=/kra/agent/kra/TokenKeyRecovery
Copy to Clipboard Toggle word wrap
用于服务器端密钥生成的 TPS 配置集参数：
op.enroll.userKey.keyGen.encryption.serverKeygen.archive=true
op.enroll.userKey.keyGen.encryption.serverKeygen.drm.conn=kra1
op.enroll.userKey.keyGen.encryption.serverKeygen.enable=true
Copy to Clipboard Toggle word wrap
设置 serverKeygen.enable=true 选项，使 serverKeygen.archive 生效。
重要
LunaSA HSM 不支持 RSA 加密时比 2048 字节小的密钥大小。
例如：要将密钥大小为 2048 字节，请在 /var/lib/pki/instance_name/tps/conf/CS.cfg 文件中设置以下参数： 
op.enroll.userKey.keyGen.encryption.keySize=2048
Copy to Clipboard Toggle word wrap
TKS 配置：
以下配置了用于 TKS 和 KRA（通过 TPS）通信的传输证书的别名： 
tks.drm_transport_cert_nickname=transportCert cert-pki-tomcat KRA
Copy to Clipboard Toggle word wrap
引用的传输证书还必须存在于 TKS 实例安全模块中。例如： 
transportCert cert-pki-tomcat KRA                            u,u,u
Copy to Clipboard Toggle word wrap
KRA 配置
根据 PKCS#11 令牌，参数 kra.keygen.temporaryPairs、kra.keygen.sensitivePairs 和 kra.keygen.keygen.extractablePairs 可以为密钥生成选项自定义。这些参数默认设置为 false。
这些参数的以下值已使用 Red Hat Certificate System 支持的一些安全模块进行了测试：
NSS（在 FIPS 模式中）：
kra.keygen.extractablePairs=true
Copy to Clipboard Toggle word wrap
nCipher nShield Connect 6000（默认情况下，不指定工作）:
指定 RSA 密钥： 
kra.keygen.temporaryPairs=true
Copy to Clipboard Toggle word wrap
（不要指定任何其他参数。）
生成 ECC 密钥： 
kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=false
kra.keygen.extractablePairs=true
Copy to Clipboard Toggle word wrap
LunaSA CKE - 密钥导出模型（非FIPS 模式）：
kra.keygen.temporaryPairs=true
kra.keygen.sensitivePairs=true
kra.keygen.extractablePairs=true
Copy to Clipboard Toggle word wrap
注意
Gemalto SafeNet LunaSA 只支持 CKE - 密钥导出模型中的 PKI 私钥提取，且仅在非FIPS 模式中支持。LunaSA Cloning 模型和 FIPS 模式中的 CKE 模型不支持 PKI 私钥提取。
注意
当 LunaSA CKE - Key Export Model 处于 FIPS 模式时，无法提取 pki 私钥。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat