7.2. 在 Key Manager 服务中添加 Trustway HSM 客户端

流程

1. 使用 DNF 安装 ansible-role-rhoso-proteccio-hsm ：

   $ sudo dnf -y install ansible-role-rhoso-proteccio-hsm

2. 将 Linux 的 Trustway 客户端镜像以及客户端证书和客户端密钥放在 /opt/proteccio 目录树中。

   $ cp <trustway_client_cert>.crt /opt/proteccio
   $ cp <Trustway_client_key>.key /opt/proteccio
   $ cp  <Proteccio3.06.05.iso> /opt/proteccio

   • 将 <trustway_client_cert > 替换为客户端证书的文件名。
   • 将 <trustway_client_key > 替换为客户端密钥的文件名。
   • 将 <Proteccio3.06.05.iso > 替换为 Linux ISO 的信任客户端的名称。
3. 从 HSM 设备检索服务器证书，并将其复制到 /opt/proceccio 目录中。有关从您的 Proteccio HSM 检索服务器证书的更多信息，请参阅厂商文档。
4. 可选：如果您有一个以上的 HSM 用于 HA，请为每个 HSM 获取每个证书，并将它们完全放在 /opt/proteccio 目录中。

5. 更新您的 proteccio.rc 文件，使其类似于如下：

   [PROTECCIO]
   IPaddr=<Trustway_HSM_IP_address>
   SSL=1
   SrvCert=<HSM_Certificate_Name>.CRT
   
   [CLIENT]
   Mode=0
   LoggingLevel=7
   LogFile=/var/log/barbican/proteccio.log
   StatusFile=/var/log/barbican/HSM_Status.log
   ClntKey=<Client_Certificate_Name>.key
   ClntCert=<Client_Certificate_Name>.crt

   • 将 <Trustway_HSM_IP_Address > 替换为 Trustway HSM 的 IP 地址。
   • 将 <HSM_Certificate_Name > 替换为信任证书的名称。
   • 在上面的文件中，Mode=0 表示只有一个 HSM 设备就位。
   • 将 <Client_Certificate_Name > 替换为您的客户端证书名称。

6. 可选： 如果要配置 HA，您必须为每个 HSM 的 IP 地址包含附加条目。每个新的 HSM 必须位于 [PROTECCIO] 部分。此外，您会将 [CLIENT] 中的 Mode 参数更改为 1 或 2 的值。如需更多信息，请参阅官方 Eviden 文档。

   [PROTECCIO]
   IPaddr=<Trustway_HSM-2_IP_address>
   SSL=1
   SrvCert=<HSM-2_Certificate_Name>.CRT
   
   [CLIENT]
   Mode=2

   • 将 <Trustway_HSM-2_IP_Address > 替换为第二个信任 HSM 的 IP 地址。
   • 创建一个新的 [PROTECCIO] 部分，其中包含您环境中每个后续信任单元的对应参数。

7. 将 proteccio.rc 配置文件移到 /opt/proteccio ：

   $ mv proteccio.rc /opt/proteccio

8. 创建名为 ansible-proteccio.yaml 的 playbook，其内容如下：

     vars:
       Trustway_client_name: <name>
       Trustway_server_cert_src: "/opt/trustway/<server.pem>"
       Trustway_partition_password: "<password>"
       Trustway_data_secret: "Trustway_data_secret"
       login_secret: "login_secret"
       barbican_dest_image_namespace: "<namespace>"
       proteccio_client_src: "file:///opt/proteccio/<iso_file>"
       proteccio_password: "{{ PIN to log into proteccio }}"
       kubeconfig_path: "<kubeconfig_path"
       oc_dir: "<directory>"
     roles:
       - rhoso_proteccio_hsm

   • 将 < name> 替换为您的信任证书的名称。
   • 将 <server.pem > 替换为服务器证书的名称。
   • 将 <password > 替换为您的 HSM 分区密码。
   • 将 <namespace > 替换为 Quay.io 或其他容器 registry 的帐户名称。
   • 将 < iso_file& gt; 的内容替换为 Proteccio 客户端 ISO 文件的名称。
   • 将 &lt ;kubeconfig_path > 的内容替换为 OpenShift 配置文件的完整路径。
   • 将 <directory > 替换为 OpenShift 客户端位置的完整路径。

9. 运行 playbook：

   $ ansible-playbook ansible-proteccio.yaml