通过 PKCS#11 的多个 HSM答案

【问题标题】：Multiple HSMs through PKCS#11通过 PKCS#11 的多个 HSM
【发布时间】：2017-07-21 21:22:17
【问题描述】：

我有多个 SafeNet HSM，我希望在任何时候从单个客户端连接到所有这些。我知道这不能通过 PKCS#11 完成，因为 PKCS#11 具有一次具有多个插槽的单个 HSM 的概念。

那么，是否可以同时连接多个 HSM？

【问题讨论】：

您是否尝试就这个问题联系 Safenet 支持？

标签： pkcs#11 hsm

【解决方案1】：

是的，Safenet 的 HSM 模型支持称为高可用性模式的东西。这允许应用程序看到一个虚拟 HSM，而不是一组 HSM。

【讨论】：

【解决方案2】：

我不确定这个问题是指连接到单独 HSM 以实现单独功能的能力，还是指负载平衡和在 HSM 之间提供故障转移的能力。

对于第一种情况，如果您向客户端注册了多个 HSM，它们应该显示为单独的插槽，您可以在 PKCS #11 代码中使用所需的插槽：

Output from ckdemo option 11 (Slot Info):

Slots available:
        slot#1 - LunaNet Slot
        slot#2 - LunaNet Slot

正如 Raj 所提到的，Safenet Luna HSM 确实具有高可用性 (HA) 模式，可实现负载平衡和故障转移。为了扩展该答案，如果您将 HSM 配置为 HA 使用并使用 vtl haAdmin 命令在您的 Safenet 客户端上创建一个 HA 组，您将看到一个虚拟插槽以及各个 HSM 的单独插槽：

ckdemo 选项 11 的输出（插槽信息）：

Slots available:
        slot#1 - LunaNet Slot
        slot#2 - LunaNet Slot
        slot#3 - HA Virtual Card Slot

您现在可以在 PKCS #11 代码中使用该虚拟插槽与 HA 池中的 HSM 连接，Safenet 客户端软件将负责确定如何在 HSM 之间路由请求。

【讨论】：