通过hsm_mgmt_tool使用hsm - 密钥管理服务

hsm_mgmt_tool命令行工具帮助CO用户管理HSM实例和HSM用户。该工具还允许CU用户共享密钥、获取和设置密钥属性。

重要

运行hsm_mgmt_tool命令之前，您必须启动hsm_mgmt_tool并登录到HSM实例。请确保您以正确的用户身份登录，详情参见HSM用户权限表。

下载安装包

下载密码机实例管理工具。

CentOS
- 方式一：下载密码机实例管理工具。
- 方式二：执行如下命令下载密码机实例管理工具，该操作需要您的ECS服务器连接公网。
```
wget -O hsm-client-v2.03.15.10-1.x86_64.rpm 'https://yundun-hsm4.oss-ap-southeast-1.aliyuncs.com/hsm-client-v2.03.15.10-1.x86_64.rpm'
```
- 方式三：在实例列表页面，找到目标密码机实例，通过单击规格列的图标。
- 方式四：在激活集群页面，单击下载密码机实例管理工具。
Debian
访问hsm-client-2.03.15.10-20240710_1.x86_64.deb，下载密码机实例管理工具。

执行如下命令：将程序和配置文件安装在/opt/hsm目录下。

CentOS

sudo yum install -y hsm-client-v2.03.15.10-1.x86_64.rpm

Debian

sudo dpkg -i hsm-client-2.03.15.10-20240710_1.x86_64.deb

修改配置文件

在密码机管理工具的安装目录下，修改/opt/hsm/etc/hsm_mgmt_tool.cfg文件中的servers配置项。

name、hostname修改为主密码机的私有IP地址。
owner_cert_path修改为issuerCA.crt的文件路径。

hsm_mgmt_tool.cfg文件示例

{

"servers": [

{

"name" : "172.16.XX.XX",

"hostname" : "172.16.XX.XX",

"port" : 2225,

"certificate": "/opt/hsm/etc/client.crt",

"pkey": "/opt/hsm/etc/client.key",

"CAfile": "",

"CApath": "/opt/hsm/etc/certs",

"ssl_ciphers": "",

"server_ssl" : "yes",

"enable" : "yes",

"owner_cert_path":"<issuerCA.crt file path>"

}],

"scard": {

"enable": "no",

"port": 2225,

"ssl": "no",

"ssl_ciphers": "",

"certificate": "cert-sc",

"pkey": "pkey-sc"

}

启动和退出工具

启动hsm_mgmt_tool命令行工具。

/opt/hsm/bin/hsm_mgmt_tool /opt/hsm/etc/hsm_mgmt_tool.cfg

退出hsm_mgmt_tool命令行工具。

cloudmgmt> quit

获取帮助

运行下面的命令，列出所有的hsm_mgmt_tool命令。

cloudmgmt> help

运行下面的命令，获得特定hsm_mgmt_tool命令的语法。

cloudmgmt> help <command-name>

命令参考

下表描述了hsm_mgmt_tool中的命令。

命令	说明	用户类型
changePswd	更改HSM实例上用户的密码。所有用户都可以更改自己的密码。CO用户可以更改所有用户的密码。	CO用户
createUser	在HSM实例上创建所有类型的用户。	CO用户
deleteUser	从HSM实例中删除所有类型的用户。	CO用户
findAllKeys	获取用户拥有或共享的密钥。获取每个HSM实例上所有密钥的密钥所有权和数据的哈希。	CO用户, AU用户
getAttribute	获取HSM密钥的属性值，并将其写入文件或标准输出（stdot）。	CU用户
getCert	获取特定HSM实例的证书，并将其保存为指定格式。	所有用户
getCertReq	获取特定HSM实例的证书请求，并将其保存为指定格式。	所有用户
getHSMInfo	获取运行HSM实例的设备信息。	所有用户。不需要登录。
getKeyInfo	获取密钥的所有者、共享用户和法定人数认证状态。	CU用户
info	获取HSM实例的相关信息，包括IP地址、主机名、端口和当前用户。	所有用户。不需要登录。
listAttributes	列出HSM密钥的属性和表示它们的常量	所有用户。不需要登录。
listUsers	获取每个HSM实例中的用户，其用户类型、ID以及其他属性。	所有用户。不需要登录。
loginHSM and logoutHSM	登录并注销HSM实例。	所有用户
serverr	进入和退出HSM实例的服务器模式。	所有用户
setAttribute	更改标签的值，并对现有密钥的属性进行加密，解密，换行和展开。	CU用户
quit	退出hsm_mgmt_tool。	所有用户，无需要登录。
shareKey	与其他用户共享现有密钥。	CU用户
storeCert	存储HSM所有者证书和所有者签名证书。	PRECO用户或CO用户