6.11. 设置服务器端密钥生成
服务器端密钥生成意味着密钥由密钥恢复授权(KRA)生成，它是一个可选的证书系统子系统。需要 KRA 生成密钥，以允许在丢失或已损坏的令牌时恢复密钥，或者在外部注册时检索密钥。这部分论述了如何在 TMS 中配置服务器端密钥生成。
在 TPS 安装过程中，要求您指定您是否要使用密钥归档。如果您确认，设置将执行自动基本配置，特别是以下参数：
- KRA 的 TPS 连接器参数：
tps.connector.kra1.enable=true tps.connector.kra1.host=host1.EXAMPLE.com tps.connector.kra1.maxHttpConns=15 tps.connector.kra1.minHttpConns=1 tps.connector.kra1.nickName=subsystemCert cert-pki-tomcat tps.connector.kra1.port=8443 tps.connector.kra1.timeout=30 tps.connector.kra1.uri.GenerateKeyPair=/kra/agent/kra/GenerateKeyPair tps.connector.kra1.uri.TokenKeyRecovery=/kra/agent/kra/TokenKeyRecovery
- 用于服务器端密钥生成的 TPS 配置集参数：
op.enroll.userKey.keyGen.encryption.serverKeygen.archive=true op.enroll.userKey.keyGen.encryption.serverKeygen.drm.conn=kra1 op.enroll.userKey.keyGen.encryption.serverKeygen.enable=true
设置serverKeygen.enable=true选项，使serverKeygen.archive生效。重要LunaSA HSM 不支持 RSA 加密时比 2048 字节小的密钥大小。例如：要将密钥大小为 2048 字节，请在/var/lib/pki/instance_name/tps/conf/CS.cfg文件中设置以下参数：op.enroll.userKey.keyGen.encryption.keySize=2048
- TKS 配置：
- 以下配置了用于 TKS 和 KRA（通过 TPS）通信的传输证书的别名：
tks.drm_transport_cert_nickname=transportCert cert-pki-tomcat KRA
引用的传输证书还必须存在于 TKS 实例安全模块中。例如：transportCert cert-pki-tomcat KRA u,u,u
- KRA 配置
- 根据 PKCS#11 令牌，参数
kra.keygen.temporaryPairs、kra.keygen.sensitivePairs和kra.keygen.keygen.extractablePairs可以为密钥生成选项自定义。这些参数默认设置为false。这些参数的以下值已使用 Red Hat Certificate System 支持的一些安全模块进行了测试：- NSS（在 FIPS 模式中）：
kra.keygen.extractablePairs=true
- nCipher nShield Connect 6000（默认情况下，不指定工作）:
- 指定 RSA 密钥：
kra.keygen.temporaryPairs=true
（不要指定任何其他参数。）生成 ECC 密钥：kra.keygen.temporaryPairs=true kra.keygen.sensitivePairs=false kra.keygen.extractablePairs=true
- LunaSA CKE - 密钥导出模型（非FIPS 模式）：
kra.keygen.temporaryPairs=true kra.keygen.sensitivePairs=true kra.keygen.extractablePairs=true
注意
Gemalto SafeNet LunaSA 只支持 CKE - 密钥导出模型中的 PKI 私钥提取，且仅在非FIPS 模式中支持。LunaSA Cloning 模型和 FIPS 模式中的 CKE 模型不支持 PKI 私钥提取。
注意
当 LunaSA CKE - Key Export Model 处于 FIPS 模式时，无法提取 pki 私钥。
