Entrust nShield HSM-Integrationshandbuch

Voraussetzungen:

Einrichtung der Cloud-Client-Software

Hinweis: Wenn Sie ein lokales HSM einrichten, fahren Sie mit der Voraussetzung fort. Schritt 2.

  1. Laden Sie die Client-Software vom Entrust Support Portal herunter.

  2. Entpacken Sie die Zip-Datei.

  3. Führen Sie das Installationsprogramm als Administrator aus.

  4. Wählen Sie „Nur Clientinstallation“ aus.

  5. Entpacken und konfigurieren Sie das Cloud HSM-Paket, das Folgendes enthalten sollte

    • nshield-cloud.conf

    • cloud.cert

    • client.key

    • client.cert

    • Optional: module.nkn, module.dns

  6. Legen Sie sie in die C:\ProgramData\nCipher\Security World\cloud

Einrichtung der lokalen HSM-Clientsoftware

  1. Laden Sie die Client-Software vom Entrust Support Portal herunter.

  2. Entpacken Sie die Zip-Datei.

  3. Führen Sie das Installationsprogramm als Administrator aus.

  4. Wählen Sie die Optionen aus, die Sie installieren möchten.

Security World-Konfiguration

  1. Für die folgenden Schritte ist der Zugriff auf eine Eingabeaufforderung mit erhöhten Rechten oder auf Root-Rechte erforderlich.

  2. Testen Sie den Zugriff auf nSRES mit dem folgenden Befehl:

    anonkneti --port 9014 [Zugewiesene HSM-IP-Adresse]

    Hinweis: Um die auf dem Client installierte Version von Security World zu überprüfen, geben Sie den folgenden Befehl ein. 

    anonym –v

    Entrust empfiehlt die Verwendung des neuesten Security World Client für Integrationstests.

  3. Der Befehl sollte zwei Zahlen zurückgeben, eine Seriennummer (ESN) und einen KNETI-HASH.

    [ESN] [KNETI HASH]

  4. Exportieren Sie die Welt- und Moduldateien aus der E-Mail in den Security World-Client kmdata/local Ordner:

    • Windows: C:\ProgramData\nCipher\Schlüsselverwaltungsdaten\local
    • Linux: /opt/nfast/kmdata/local

  5. Wenn Sie zu neuen nSRES-nSRTL-Modulen wechseln, müssen Sie die vorherigen Module abmelden. 

    nethsmenroll --remove --port (Portzuweisung) [Zugewiesene HSM-IP-Adresse] ESN KNETI-HASH

  6. Verwenden Sie zum Registrieren für jede IP-Adresse den folgenden Befehl:

    nethsmenroll --port 9014 [Zugewiesene HSM-IP-Adresse]

    Hinweis: Wiederholen Sie die obigen Schritte 1–6 nach Bedarf, um jede IP-Adresse für den HA-Test zu registrieren.

  7. Verwenden Sie zum Testen der HSM-Konnektivität die folgenden Diagnosebefehle: 

    Fragen!

    Hinweis: Die Anfrage bestätigt, dass das Modul angeschlossen ist, und stellt eine Liste der verfügbaren nShield-Funktionen bereit.

    und / oder

    nfkminfo

    Hinweis: nkfminfo zeigt Informationen zur Sicherheitswelt an.

  8. Um Benchmarking zu testen und die Konsistenz der Security World zu überprüfen, verwenden Sie die folgenden Befehle: 

    perfcheck -m1 Signierung:287

    Hinweis: perfcheck führt einen Test des Moduls durch.

    und / oder

    nfkmcheck

    Hinweis: nfkmcheck überprüft die Konsistenz der Security World-Daten.