← Cloudflare SSL/TLS / ssl / keyless-ssl / hardware-security-modules

Entrust nShield Connect

Jelikož klíče jsou už na místě, stačí sestavit konfigurační soubor, který klíčový server načte při spuštění. V tomto příkladu obsahuje zařízení jeden pár klíčů RSA.

Žádáme pkcs11-tool (poskytnuto opensc balíčku) k zobrazení objektů uložených v tokenu:

pkcs11-tool --module /opt/nfast/toolkits/pkcs11/libcknfast.so -O

Using slot 0 with a present token (0x1d622495)
Private Key Object; RSA
  label:      rsa-privkey
  ID:         105013281578de42ea45f5bfac46d302fb006687
  Usage:      decrypt, sign, unwrap
warning: PKCS11 function C_GetAttributeValue(ALWAYS_AUTHENTICATE) failed: rv = CKR_ATTRIBUTE_TYPE_INVALID (0x12)

Public Key Object; RSA 2048 bits
  label:      rsa-privkey
  ID:         105013281578de42ea45f5bfac46d302fb006687
  Usage:      encrypt, verify, wrap

Klíčovým údajem je popisek objektu, rsa-privkey. Otevřete /etc/keyless/gokeyless.yaml a bezprostředně poté

private_key_stores:
  - dir: /etc/keyless/keys

přidat

- uri: pkcs11:token=accelerator;object=rsa-privkey?module-path=/opt/nfast/toolkits/pkcs11/libcknfast.so&max-sessions=4

Uložte konfigurační soubor, restartujte gokeyless, a ověřte, že se úspěšně spustil.

sudo systemctl restart gokeyless.service
sudo systemctl status gokeyless.service -l