1.2. Red Hat Certificate System 和 Enterprise Security Client
Red Hat Certificate System 创建、管理、续订和撤销证书和密钥。要管理智能卡，证书系统有一个令牌管理系统来生成密钥、创建证书请求和接收证书。
两个子系统 - 令牌密钥服务(TKS)和令牌处理系统(TPS)- 用于处理与令牌相关的操作。企业安全客户端是允许智能卡和用户访问令牌管理系统的接口。
管理令牌涉及四个证书系统子系统，两个用于管理令牌(TKS 和 TPS)，两个用于管理公钥基础架构(CA 和 DRM)中的密钥和证书。
- 令牌处理系统(TPS)与智能卡交互，以帮助它们为特定实体（如用户或设备）生成和存储密钥和证书。智能卡操作通过 TPS 进行，并转发到适当的子系统以进行操作，如生成证书或数据恢复管理器以归档和恢复密钥的证书颁发机构。
- 令牌密钥服务(TKS)生成或派生用于 TPS 和智能卡之间的通信的对称密钥。TKS 生成的每组键都是唯一的，因为它们基于卡的唯一 ID。密钥在智能卡上格式化，用于加密智能卡和 TPS 之间的通信或提供身份验证。
- 证书颁发机构(CA)会创建并撤销保存在智能卡中的用户证书。
- （可选）数据恢复管理器(DRM)存档并恢复智能卡的密钥。
图 1.1. 证书系统如何管理智能卡
如 图 1.1 “证书系统如何管理智能卡” 显示，TPS 是 Red Hat Certificate System 令牌管理系统中的中央中心。令牌直接与 TPS 通信。然后，TPS 与 TKS 通信，以生成一组可用于 TPS-token 通信(1)的唯一密钥。注册智能卡时，会为令牌创建新的私钥；如果配置了密钥归档，这些密钥可以在 DRM (2)中存档。然后，CA 处理证书请求(3)并发布要存储在令牌上的证书。TPS 将这些证书发回到企业安全客户端(4)），并将其保存到令牌。
企业安全客户端是 TPS 通过安全 HTTP 通道(HTTPS)与证书系统通信各个令牌的共识。
要使用令牌，令牌处理系统必须能够识别并与它们通信。首先必须 注册 令牌，以使用所需的密钥和证书填充令牌，并将令牌添加到证书系统中。企业安全客户端为最终用户提供注册令牌的最终实体的用户界面。
