6.11. 设置服务器端密钥生成
服务器端密钥生成意味着密钥恢复授权中心(KRA)生成，它是一个可选的证书系统子系统。需要由 KRA 生成密钥，以便在外部注册时允许恢复丢失或损坏的令牌的密钥。这部分论述了如何在 TMS 中配置服务器端密钥生成。
在 TPS 安装过程中，要求您指定是否要使用密钥归档。如果确认，设置将执行自动基本配置，特别是以下参数：
- KRA 的 TPS 连接器参数：
tps.connector.kra1.enable=true tps.connector.kra1.host=host1.EXAMPLE.com tps.connector.kra1.maxHttpConns=15 tps.connector.kra1.minHttpConns=1 tps.connector.kra1.nickName=subsystemCert cert-pki-tomcat tps.connector.kra1.port=8443 tps.connector.kra1.timeout=30 tps.connector.kra1.uri.GenerateKeyPair=/kra/agent/kra/GenerateKeyPair tps.connector.kra1.uri.TokenKeyRecovery=/kra/agent/kra/TokenKeyRecovery
- 用于服务器端密钥生成的 TPS 配置文件特定的参数：
op.enroll.userKey.keyGen.encryption.serverKeygen.archive=true op.enroll.userKey.keyGen.encryption.serverKeygen.drm.conn=kra1 op.enroll.userKey.keyGen.encryption.serverKeygen.enable=true
将serverKeygen.enable=true选项的serverKeygen.archive设置为生效。重要LunaSA HSM 不支持 RSA 加密的密钥大小比 2048 位小。例如，若要配置密钥大小为 2048 位，请在/var/lib/pki/instance_name/tps/conf/CS.cfg文件中设置以下参数：op.enroll.userKey.keyGen.encryption.keySize=2048
- TKS 配置：
- 以下配置用于 TKS 和 KRA （通过 TPS）之间的通信的传输证书的别名：
tks.drm_transport_cert_nickname=transportCert cert-pki-tomcat KRA
引用的传输证书还必须存在于 TKS 实例安全模块中。例如：transportCert cert-pki-tomcat KRA u,u,u
- KRA 配置
- 根据 PKCS the 令牌、参数
kra.keygen.temporaryPairs、kra.keygen.sensitivePairs和kra.keygen.extractablePairs可以自定义密钥生成选项。这些参数都默认设置为false。这些参数的以下值已使用 Red Hat Certificate System 支持的一些安全模块进行测试：- NSS （当使用 FIPS 模式时）：
kra.keygen.extractablePairs=true
- nCipher nShield Connect 6000 （默认情况下不要指定）：
- 指定 RSA 密钥：
kra.keygen.temporaryPairs=true
（不要指定任何其他参数。）生成 ECC 密钥：kra.keygen.temporaryPairs=true kra.keygen.sensitivePairs=false kra.keygen.extractablePairs=true
- lunasa CKE - 密钥导出模型（非FIPS 模式）：
kra.keygen.temporaryPairs=true kra.keygen.sensitivePairs=true kra.keygen.extractablePairs=true
注意
Gemalto SafeNet LunaSA 仅支持 CKE 中的 PKI 私钥提取 - 密钥导出模型，且仅在非FIPS 模式中。FIPS 模式中的 LunaSA Cloning 模型和 CKE 模型不支持 PKI 私钥提取。
注意
当 LunaSA CKE - 密钥导出模型处于 FIPS 模式时，无法提取 pki 私钥。
