Instalación

Para obtener información sobre la instalación de Luna HSM, consulte la documentación de Thales Luna HSM para obtener más información.

 Misc = { RSAKeyGenMechRemap = 1; } 

Configuración

Para obtener instrucciones de configuración, consulte la Ayuda en línea de Luna SA, documento n.° 800274-xxx que se incluye en el CD de instalación.

Realice todos los pasos de la sección A - Configuración (Configurar el dispositivo después de la instalación) y tenga en cuenta lo siguiente con respecto a la configuración:

• Paso 3: Tenga en cuenta que al cambiar muchas de las políticas se restablecerá el HSM y no podrá cambiar ninguna de estas políticas más adelante.

• Paso 4: Se puede agregar una nueva partición en cualquier momento. Cada partición se representará como una ranura PKCS#11. Asegúrese de escribir la contraseña de cliente de partición de registro (TP) en un archivo de texto. En el ejemplo, la contraseña es btqx-EFGH-3456-7/K9 para la primera partición creada (ranura 1). La TP se usará posteriormente como PIN para la ranura.

• Paso 5: Recomendamos permitir la activación de las particiones (ranuras p11). Si una partición no está activada, deberá insertar la llave negra en el PED e ingresar el PIN cada vez que el cliente utilice un recurso del HSM. A continuación, se muestra un comando de ejemplo para permitir la activación de una partición:

  lunash:>partition changePolicy -partition partition1 -policy 22 -value 1

• Paso 6: Recomendamos ejecutar desde un directorio de su propiedad (sin tener que usar sudo) en lugar de ejecutar desde el directorio /usr/LunaSA/bin .
  A continuación se muestra un ejemplo de ejecución desde su propio directorio:

  $ /usr/lunasa/bin/ctp admin@lunasa.int.primekey.com:server.pem .

  A continuación se muestran ejemplos de cuándo se debe utilizar sudo: registro del servidor y adición de certificados de cliente (se utilizan y actualizan archivos y directorios propiedad de la raíz):

  $ sudo /usr/lunasa/bin/vtl addServer -n lunasa.int.primekey.com -c server.pem

  $ sudo /usr/lunasa/bin/vtl createCert -n milton

• Paso 7: Cada partición asignada a un cliente se representará mediante una ranura PKCS#11 para este cliente. Cada partición recién añadida se colocará al final de la lista de ranuras, y el número de ranura será el índice de la lista de ranuras más 1 (el índice de la lista empieza por 0 y el número de ranura empieza por 1). Para ver la asignación de ranuras de la partición en el cliente, ejecute lo siguiente. El cliente podrá entonces usar estas ranuras con EJBCA y sus herramientas.

  $ /usr/lunasa/bin/vtl verify

  were found: The following Luna SA Slots /Partitions de Luna SA:

  # Label Slot Serial

  ==== ======== =====

  1 950784001 partition1

  2 950784002 partition2

Activación de ranuras

Una partición (ranura) debe activarse antes de que un cliente pueda usarla, como se describe en B - Administración y mantenimiento > Activación y activación automática de particiones de la Ayuda en línea de Luna SA, documento n.° 800274-xxx, incluido en el CD de instalación. La política de partición necesaria para la activación debe estar configurada (consulte el paso 5 anterior). A continuación, se muestra un ejemplo de activación de una partición con la contraseña configurada en el paso 4 anterior:

Generar claves en una ranura

Las claves se pueden generar en la interfaz de administración de EJBCA o mediante la CLI de clientToolBox. La CLI es útil para probar HSMs rápidamente. Las claves generadas con la CLI también están disponibles desde la interfaz de usuario, y viceversa.

A continuación se muestra un ejemplo para generar claves en una ranura usando la contraseña btqx-EFGH-3456-7/K9 del paso 4 anterior:

Lista y claves de prueba utilizadas por EJBCA

A continuación se muestra un ejemplo de listado y prueba de todas las claves que EJBCA podría usar:

Crear token criptográfico y CA en EJBCA

Para crear una CA, primero cree un token criptográfico en EJBCA. Para crear un token criptográfico PKCS11, asegúrese de que EJBCA conozca la ubicación de la biblioteca de controladores PKCS#11. Las referencias a los archivos de la biblioteca PKCS#11 se configuran en conf/web.properties en EJBCA, y EJBCA reconoce las ubicaciones más comunes de los controladores PKCS#11 de Luna.

En la interfaz de administración de EJBCA, haga clic en Tokens criptográficos en Funciones de CA para generar un nuevo token criptográfico PKCS#11 con la biblioteca Luna. Con el token criptográfico creado, cree CAs utilizando las claves del HSM y seleccionando el token criptográfico correcto.

Comandos útiles de Luna

A continuación se enumeran comandos nativos útiles de Luna cmu.

Para enumerar objetos y sus identificadores:

Si ha creado claves con comandos nativos o claves importadas, probablemente no exista ningún objeto de certificado, como lo requiere el proveedor PKCS#11 de Java. Para crear un certificado autofirmado que haga referencia al identificador privado, ejecute:

Tenga en cuenta que 87 debe reemplazarse con el identificador de la clave privada que se encuentra al ejecutar el comando de lista.