证书及密钥生成导入样例

使用KMC加密算法进行CA密钥和KMC密钥文件生成，本章节以“certImport.sh”为例，通过调用 “${MX_SDK_HOME}/bin”目录下的“CertImport”（C++可执行程序）进行证书验证、导入和密钥生成写入。

1. 进入“$MX_SDK_HOME/sample/mxVision/streamserver/”路径下，包含以下内容。

   ├── InferConfigRepository
   │   ├──  ...                   
   ├── run.sh                    //StreamServer启动脚本
   ├── certImport.sh             //证书导入加密脚本
   ├── ...

2. 执行脚本，导入证书及生成KMC密文密钥。

   执行kmc相关的加密算法，主要流程包括证书校验、KMC加密、写入配置文件等步骤。请参见以下命令执行。

   $ bash ./certImport.sh -c <ca.crt_path> -s <server.crt_path> -k <server.key_path>

   

   <ca.crt_path>为ca证书路径，<server.crt_path>为服务器端证书路径，<server.key_path>为服务器端证书密钥路径，分别以添加“-c”、“-s”、“-k”参数的形式进行传入。

   用于用户导入证书、密钥文件，执行过程中需要用户手动输入服务端证书的密码，该脚本限制密码要不大于100个字符。

   • 若证书校验成功且加密成功，指定路径的证书会被拷贝到当前目录下的keys文件夹内，其相对路径会被写入配置文件“$MX_SDK_HOME/config/streamserver.conf ”的“ca_crt”、“server_crt”和“server_key”中。
   • 若当前目录下不存在主密钥文件“kmc.ks”和备份密钥文件“StandbyKsf.ks”，加密时会在当前路径的keys目录下生成主密钥文件“kmc.ks” 和备份密钥文件“StandbyKsf.ks”。生成的密钥信息会被自动填写到“$MX_SDK_HOME/config/streamserver.conf ”的“server_key_mm”一项中。

   命令执行参考如下：

   $ bash ./certImport.sh -c <ca.crt_path> -s <server.crt_path> -k <server.key_path> -r <crl_path>

   

   <ca.crt_path>为ca证书路径，<server.crt_path>为服务器端证书路径，<server.key_path>为服务器端证书密钥路径，<crl_path>为吊销列表路径，分别以添加“-c”、“-s”、“-k”、“-r”参数的形式进行传入。

   用于用户导入证书、密钥和吊销列表，执行过程中需要用户手动输入服务端证书的密码，该脚本限制密码应不大于100个字符。

   • 若证书校验成功且加密成功，指定路径的证书、密钥和吊销列表会被拷贝到当前目录下的“keys”文件夹内，其相对路径会被写入配置文件“$MX_SDK_HOME/config/streamserver.conf ”的“ca_crt”、“server_crt”、“server_key”、“crl”中。
   • 若当前目录下不存在主密钥文件“kmc.ks”和备份密钥文件“StandbyKsf.ks”，加密时会在当前路径的“keys”目录下生成主密钥文件“kmc.ks” 和备份密钥文件“StandbyKsf.ks”。生成的密钥信息会被自动填写到“$MX_SDK_HOME/config/streamserver.conf ”的“server_key_mm”一项中。
   • 若在导入过程中提示导入失败（原因主要为吊销列表不合法等情况）或暂时不使用该吊销列表，请检查“streamserver.conf”中的“crl”项。若该项不为空，可将其手动置为空。
   • 如果服务启动时在配置文件中指定了吊销列表，服务运行中可以更新吊销列表路径对应的文件，以实现对客户端证书的动态吊销。吊销列表文件不能被直接覆盖，需要先将其删除后再将新的吊销列表文件以相同名称拷贝到对应路径（确保新的吊销列表属主为安装mxVision的用户且权限为“400”）。若启动时未指定吊销列表则不可在服务运行中进行更改。
   

   • 使用KMC进行加密计算时，可能出现KMC初始化随机数阻塞但未抛出Error，等待时间不定可恢复，具体可参考在服务端接收请求或执行证书导入脚本时，KMC初始化随机数阻塞。
   • 脚本执行文件所在路径为“$MX_SDK_HOME/bin/CertImport”。
   • 若该导入脚本执行失败，配置文件的信息可能不会发生变化，请通过手动方式设置配置文件中的配置项。

3. 脚本执行成功，生成目录结构，用户可根据实际情况启动服务。

   ├── InferConfigRepository
   │   ├──  ...                   
   ├── keys
   │   ├── ca.crt               //ca证书
   │   ├── server.crt           //server证书
   │   ├── server.key           //server密钥
   │   ├── ca.crl               //ca吊销列表(可选)
   │   ├── kmc.ks               //kmc主密钥
   │   ├── StandbyKsf.ks        //kmc备份密钥
   ├── run.sh                    //StreamServer启动脚本
   ├── certImport.sh             //证书导入加密脚本
   ├── ...