應用程式

應用程式在單一位址空間內執行。 控制項的所有執行緒都在應用程式中執行。 透過從其中一個執行緒呼叫 Cryptoki 函數 C_Initialize，應用程式變成 Cryptoki 應用程式。 發出此呼叫之後，應用程式可以呼叫其他 Cryptoki 函數。 當應用程式完成使用 Cryptoki 時，它會呼叫 Cryptoki 函數 C_Finalize，並不再是 Cryptoki 應用程式。

如果您在 IBM Z (s390x) 平台上使用 SunPKCS11 提供者執行 Java PKCS #11 應用程式，請確定您使用最新的 IBM Semeru JVM，並在啟動應用程式時指定 -Xjit:noResumableTrapHandler Java 選項。 您可以在 IBM Semeru 執行時期下載頁面」上，將 架構 過濾器欄位變更為 s390x，以下載 IBM Semeru JVM 的最新 s390x 版本。

使用者

PKCS #11 標準定義兩種登入使用者類型: 安全主管 (SO) 和一般使用者。 如果使用者未使用 C_Login Cryptoki 函數登入，則該使用者也稱為匿名使用者。 只有一般使用者可以存取記號上的專用物件，且只有在鑑別一般使用者之後，才會授與該存取權。 在 Hyper Protect Crypto Services PKCS #11 實作中，安全管理者和一般使用者由 API 金鑰鑑別。 也支援匿名使用者。 如需設定 PKCS #11 使用者類型的指示，請參閱 設定 PKCS #11 使用者類型的最佳作法。

階段作業

Cryptoki API 需要應用程式使用記號開啟一個以上階段作業，以取得對記號物件及函數的存取權。 階段作業提供應用程式與記號之間的邏輯連線。 階段作業可以是讀寫 (R/W) 階段作業或唯讀 (R/O) 階段作業。

若要取得對記號之專用物件的存取權，一般使用者需要登入並進行鑑別。 如需深入瞭解階段作業的相關資訊，請參閱 PKCS #11 Cryptographic Token Interface Usage Guide。

金鑰物件

金鑰物件儲存在與 PKCS #11 應用程式一起存在的記憶體內金鑰儲存庫中，或儲存在資料庫支援的金鑰儲存庫中。 如果金鑰物件的 CKA_TOKEN 屬性設為 true，則金鑰物件會儲存在資料庫支援的金鑰儲存庫中。 否則，金鑰物件會儲存在記憶體內金鑰儲存庫中。

在主要金鑰輪替之後，不會自動輪替記憶體內金鑰儲存庫中的金鑰物件。 如果在服務實例中啟用 PKCS #11 金鑰儲存庫，則在主要金鑰輪替完成之後，您需要重新啟動所有作用中的 PKCS #11 應用程式，以清除記憶體內金鑰儲存庫。

如下圖所示，PKCS #11 金鑰物件是 PKCS #11 物件類別的範例:

• 資料: 由應用程式定義資料物件。
• 憑證: 憑證物件儲存憑證。
• 金鑰: 金鑰物件儲存加密金鑰。 金鑰可以是公開金鑰、私密金鑰或秘密金鑰。 這些金鑰的每一種類型都有子類型，可在特定機制中使用。
  • 公開金鑰: 金鑰組的公開元件，任何人都可以使用它來加密訊息，以便讓特定收件人能夠存取金鑰組的私密金鑰。 公開金鑰也用來驗證私密金鑰所建立的簽章。
  • 私密金鑰: 用來解密訊息之金鑰組的私密元件。 私密金鑰也用來建立簽章。
  • 秘密金鑰: 秘密金鑰是產生的位元串流，用來對稱加密及解密訊息。

Cloud Identity and Access Management

IBM Cloud Identity and Access Management (IAM) 提供使用者鑑別及存取控制，以實作 PKCS #11 API。 透過使用 API 金鑰，PKCS #11 程式庫會取得用來執行 Cryptoki API 呼叫的載送記號。

PKCS #11 的這項實作等於 API 金鑰與使用者的 PIN 碼。 如需設定服務 ID 及對應 API 金鑰的相關資訊，請參閱 為 SO 使用者、一般使用者及匿名使用者建立服務 ID。

加密服務

在 PKCS #11 程式庫起始設定處理程序中，會建立從 PKCS #11 程式庫到 IBM Cloud的 gRPC 連線。 gRPC 連線可協助 PKCS #11 程式庫呼叫 Cryptoki 函數，例如 C_Encrypt、C_Decrypt、C_Sign 及 C_Verify，這需要使用「硬體安全模組 (HSM)」。

金鑰儲存庫

有兩種主要類型的金鑰儲存庫可用:

• 記憶體內金鑰儲存庫: 暫時將金鑰物件儲存在記憶體中。 儲存在記憶體內金鑰儲存庫中的金鑰物件也稱為 階段作業物件。 當您呼叫該階段作業的 C_CloseSession 函數時，會毀損特定階段作業中的階段作業物件。 在呼叫 C_Finalize 函數之後，會毀損所有階段作業中的階段作業物件。
• 資料庫支援的金鑰儲存庫: 將金鑰物件儲存在資料庫中。 儲存在資料庫支持金鑰儲存庫中的金鑰物件也稱為 記號物件。 如果已啟用 sessionauth 參數，且已配置金鑰儲存庫的密碼，則會加密並鑑別資料庫支援的金鑰儲存庫。 依預設，會停用 sessionauth 參數。 對於每一個服務實例，最多支援五個已鑑別的金鑰儲存庫。 您可以啟用 sessionauth 參數，將產生的金鑰加密至金鑰儲存庫，或在使用金鑰之前將金鑰解密。 密碼可以是 6-8 個字元。

金鑰儲存庫密碼不會儲存在服務實例中。 作為金鑰儲存庫管理者，您負責維護密碼的本端副本。 如果遺失密碼，您需要聯絡支援團隊來重設金鑰儲存庫，這表示會清除金鑰儲存庫中的所有資料。

記憶體內金鑰儲存庫和資料庫支援的金鑰儲存庫都由下列類型的金鑰儲存庫組成:

• 公用金鑰儲存庫: 儲存較不敏感且要由任何使用者類型存取的金鑰。
• 私密金鑰儲存庫: 儲存加密機密資料及僅供一般使用者存取的金鑰。

視 使用者類型 及金鑰屬性設定而定，產生的金鑰會儲存在不同的金鑰儲存庫中。 下列清單彙總如何儲存金鑰的準則:

• CKA_TOKEN 屬性值決定產生的金鑰是儲存在記憶體內金鑰儲存庫中，還是儲存在資料庫支援的金鑰儲存庫中。

  如果您要將金鑰儲存在資料庫支援的金鑰儲存庫中，請將金鑰或金鑰組產生範本中的 CKA_TOKEN 設為 TRUE。 PKCS #11 程式庫起始設定處理程序會建立與 IBM Cloud的 gRPC 連線，以協助在資料庫支援的金鑰儲存庫中儲存及擷取金鑰物件。 依預設，CKA_TOKEN 設為 FALSE，這表示金鑰物件儲存在 PKCS #11 應用程式處理程序位址空間內的記憶體內金鑰儲存庫中。

• CKA_PRIVATE 屬性值決定將一般使用者所產生的金鑰儲存在公開或私密金鑰儲存庫中。

  依預設，如果使用者以一般使用者身分登入，則產生的金鑰會儲存在私密金鑰儲存庫中，但 CKA_PRIVATE 設為 FALSE 的情況除外。 如果使用者以 SO 使用者身分登入或未登入 (稱為匿名使用者)，則產生的金鑰一律儲存在公開金鑰儲存庫中。 如果 SO 使用者或匿名使用者在金鑰產生範本中指定 CKA_PRIVATE 為 TRUE，則會從伺服器傳回錯誤。

  對於非對稱金鑰組，您需要針對公開和私密金鑰分別設定 CKA_PRIVATE 屬性，這表示金鑰組可以儲存在不同的金鑰儲存庫中。

請參閱下表，以取得使用者類型、索引鍵屬性和金鑰儲存庫之間的關係，以及如何儲存索引鍵的詳細說明。